(57)【要約】【課題】本発明は、動的にアクセス権を変更し得るアクセス制御システム及びアクセス制御方法を提供する。【解決手段】コンピュータ１６からファイルサーバ１３のネットワーク資源へのアクセスを制御するアクセス制御子機１２と、アクセスの許否をアクセス制御子機１２に与えるアクセス制御親機１１とを備えるアクセス制御システムにおいて、アクセス制御子機１２は、所定のコンピュータ１６から予め設定された所定のネットワーク資源へのアクセスがあった場合にこれをアクセス制御親機１１に通知して、その承認がアクセス制御親機１１から通知された場合にこのアクセスを認め、アクセス制御親機１１は、アクセス制御子機１２から上記通知があった場合にアクセスの許否を調べる許否処理を実行し、許否処理の結果がアクセスの承認である場合にその承認をアクセス制御子機１２に通知する。【選択図】図１
2007094493.tif 000002
【特許請求の範囲】
【請求項１】
共有されるネットワーク資源を管理するサーバコンピュータと前記サーバコンピュータのクライアントコンピュータとの間に通信可能に配置され前記クライアントコンピュータから前記ネットワーク資源へのアクセスを制御するアクセス制御子機と、前記アクセス制御子機と通信可能であって前記アクセスの許否を前記アクセス制御子機に与えるアクセス制御親機とを備えるアクセス制御システムにおいて、
前記アクセス制御子機は、所定のクライアントコンピュータから予め設定された所定のネットワーク資源へのアクセスがあった場合に前記アクセスを前記アクセス制御親機に通知し、該通知に対するアクセスの承認が前記アクセス制御親機から通知された場合に前記アクセスを認め、
前記アクセス制御親機は、前記アクセス制御子機から前記アクセスの通知があった場合に前記アクセスの許否を調べる許否処理を実行し、前記許否処理の結果がアクセスの承認である場合に前記通知に対するアクセスの承認を前記アクセス制御子機に通知すること
を特徴とするアクセス制御システム。
【請求項２】
前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末と、
前記所定のクライアントコンピュータに対応するネットワークカメラとをさらに備え、
前記アクセス制御親機は、前記許否処理として、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスがあったこと及び前記ネットワークカメラで撮像した前記所定のクライアントコンピュータを使用する利用者に係る画像を前記承認者用ネットワーク端末の提示部に提示させ、前記承認者用ネットワーク端末の入力部から前記アクセスの承認及び不承認の何れか一方が入力された場合に該入力された前記アクセスの承認及び不承認の何れか一方を前記承認者用ネットワーク端末から受信し、該受信を前記許否処理の結果として受付けること
を特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末をさらに備え、
前記アクセス制御親機は、前記許否処理として、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスがあったことを前記承認者用ネットワーク端末の提示部に提示させ、前記承認者用ネットワーク端末の入力部から前記アクセスの承認及び不承認の何れか一方が入力された場合に該入力された前記アクセスの承認及び不承認の何れか一方を前記承認者用ネットワーク端末から受信し、該受信を前記許否処理の結果として受付けること
を特徴とする請求項１に記載のアクセス制御システム。
【請求項４】
前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末をさらに備え、
前記アクセス制御親機は、前記許否処理として、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスがあったこと及び前記所定のクライアントコンピュータを使用する利用者に係る電話機の電話番号を前記承認者用ネットワーク端末の提示部に提示させ、前記承認者用ネットワーク端末の入力部から前記アクセスの承認及び不承認の何れか一方が入力された場合に該入力された前記アクセスの承認及び不承認の何れか一方を前記承認者用ネットワーク端末から受信し、該受信を前記許否処理の結果として受付けること
を特徴とする請求項１に記載のアクセス制御システム。
【請求項５】
前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末をさらに備え、
前記アクセス制御親機は、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスを承認するか否かの許否情報を前記承認者用ネットワーク端末から受信して記憶部にさらに記憶し、該許否情報に基づいて前記許否処理を実行すること
を特徴とする請求項１に記載のアクセス制御システム。
【請求項６】
前記アクセス制御親機は、
前記アクセス制御子機から前記アクセスの通知があった場合に前記アクセスの許否を調べる許否処理を実行する許否処理部と、
前記許否処理の結果がアクセスの承認である場合に前記通知に対するアクセスの承認を前記アクセス制御子機に通知する通知処理部とを備えること
を特徴とする請求項１乃至請求項５の何れか１項に記載のアクセス制御システム。
【請求項７】
前記アクセス制御親機は、
前記アクセスの通知に係るログ及び前記通知に対するアクセスの承認に係るログを記憶するログ情報記憶部と、
前記アクセス制御子機から前記アクセスの通知があった場合に前記ログ情報記憶部にログを記憶すると共に、前記通知に対するアクセスの承認を前記アクセス制御子機に通知した場合に前記ログ情報記憶部にログを記憶するログ処理部とをさらに備えること
を特徴とする請求項１乃至請求項６の何れか１項に記載のアクセス制御システム。
【請求項８】
前記アクセス制御子機は、
前記所定のクライアントコンピュータを識別するための第１識別情報及び前記所定のネットワーク資源を識別するための第２識別情報を予め記憶する情報記憶部と、
前記クライアントコンピュータから受信した通信信号の中から前記情報記憶部に予め記憶されている第１識別情報及び第２識別情報に基づいて前記所定のクライアントコンピュータから前記所定のネットワーク資源へのアクセスを検出し、前記所定のクライアントコンピュータから前記所定のネットワーク資源へのアクセスを検出した場合に前記アクセスを前記アクセス制御親機に通知すると共に、該通知に対するアクセスの承認が前記アクセス制御親機から通知された場合に前記アクセスを認めるアクセス処理部とを備えること
を特徴とする請求項１乃至請求項７の何れか１項に記載のアクセス制御システム。
【請求項９】
前記アクセス制御子機は、
前記クライアントコンピュータから前記サーバコンピュータへのアクセスがあった場合に前記アクセスを前記アクセス制御親機に通知する通信信号収集処理部をさらに備え、
前記アクセス制御親機は、
情報を提示する提示部と、
情報を入力する入力部と、
前記アクセスの通知に係る情報を記憶する支援情報記憶部と、
前記アクセス制御子機の前記通信信号収集処理部から前記アクセスの通知があった場合に前記支援情報記憶部に前記アクセスの通知に係る情報を記憶すると共に、前記所定のクライアントコンピュータを識別するための第１識別情報及び前記所定のネットワーク資源を識別するための第２識別情報を前記入力部より入力する場合に、前記支援情報記憶部に記録した情報に基づいて前記第１識別情報及び前記第２識別情報を前記提示部に提示する支援処理部とをさらに備えること
を特徴とする請求項１乃至請求項８の何れか１項に記載のアクセス制御システム。
【請求項１０】
共有されるネットワーク資源を管理するサーバコンピュータと前記サーバコンピュータのクライアントコンピュータとの間に通信可能に配置され前記クライアントコンピュータから前記ネットワーク資源へのアクセスを制御するアクセス制御子機と、前記アクセス制御子機と通信可能であって前記アクセスの許否を前記アクセス制御子機に与えるアクセス制御親機とを備えるアクセス制御システムのアクセス制御方法において、
前記アクセス制御子機が所定のクライアントコンピュータから予め設定された所定のネットワーク資源へのアクセスがあった場合に前記アクセスを前記アクセス制御親機に通知するステップと、
前記アクセス制御親機が前記アクセス制御子機から前記アクセスの通知があった場合に前記アクセスの許否を調べる許否処理を実行するステップと、
前記アクセス制御親機が前記許否処理の結果がアクセスの承認である場合に前記通知に対するアクセスの承認を前記アクセス制御子機に通知するステップと、
前記アクセス制御子機が該通知に対するアクセスの承認が前記アクセス制御親機から通知された場合に前記アクセスを認めるステップとを備えること
を特徴とするアクセス制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントコンピュータからサーバコンピュータが管理するネットワーク資源へのアクセスを制御するアクセス制御子機と、アクセスの許否をアクセス制御子機に与えるアクセス制御親機とを備えるアクセス制御システム及びアクセス制御方法に関する。
【背景技術】
【０００２】
近年の通信技術等の発達により、コンピュータやプリンタ等の複数の機器が無線又は有線の伝送路によって相互に通信可能に接続され、サーバコンピュータによって管理されるフォルダ（ディレクトリ）やファイル及びプリンタサーバによって管理されるプリンタ等のネットワーク資源が共有可能となっている。このようなネットワーク資源は、通常、総てのクライアントコンピュータに対し一様にアクセス可能ではなく、ネットワーク資源の内容に照らしてネットワーク資源ごとにアクセス権が設定されており、クライアントコンピュータに応じてアクセス可能なネットワーク資源とアクセス不可能なネットワーク資源とに区分されている。例えばウィンドウズ（登録商標）の共有レベルのセキュリティの場合では、ネットワークに公開するネットワーク資源ごとにパスワード文字列が予め設定、記憶され、正しいパスワードを入力したクライアントコンピュータだけがネットワーク資源を利用することができるようになっている。
【０００３】
一方、ネットワークが外部のネットワークと通信可能に接続されている場合に、セキュリティの確保を目的として、外部のネットワークからのアクセスを制御するファイアウォールと呼ばれる装置がネットワークと外部のネットワークとの境界に配置。このファイアウォールでは、外部のネットワークからのパケットは、そのＩＰアドレス及び／又はポート番号がファイアウォールに予め設定、記憶されているＩＰアドレス及び／又はポート番号である場合のみ、ファイアウォールを通過することができるようになっている（例えば非特許文献１）。
【非特許文献１】金城俊哉著、「ＴＣＰ／ＵＤＰポート番号逆引き大全３８０の極意」、秀和システム、２００３年１２月２３日発行
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、ネットワーク資源の内容とクライアントコンピュータとによっては、通常は、アクセス不可能な状態（アクセス権のない状態）に設定し、必要な都度、クライアントコンピュータにネットワーク資源へのアクセスを認めたい場合がある。上記のアクセス権の設定やファイアウォールの設定は、固定的であるため、このような場合に対応することができないという不都合がある。
【０００５】
本発明は、上記事情に鑑みて為された発明であり、動的にアクセス権を変更し得るアクセス制御システム及びアクセス制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明者は、種々検討した結果、上記目的は、以下の本発明により達成されることを見出した。即ち、本発明に係る一態様では、共有されるネットワーク資源を管理するサーバコンピュータと前記サーバコンピュータのクライアントコンピュータとの間に通信可能に配置され前記クライアントコンピュータから前記ネットワーク資源へのアクセスを制御するアクセス制御子機と、前記アクセス制御子機と通信可能であって前記アクセスの許否を前記アクセス制御子機に与えるアクセス制御親機とを備えるアクセス制御システムにおいて、前記アクセス制御子機は、所定のクライアントコンピュータから予め設定された所定のネットワーク資源へのアクセスがあった場合に前記アクセスを前記アクセス制御親機に通知し、該通知に対するアクセスの承認が前記アクセス制御親機から通知された場合に前記アクセスを認め、前記アクセス制御親機は、前記アクセス制御子機から前記アクセスの通知があった場合に前記アクセスの許否を調べる許否処理を実行し、前記許否処理の結果がアクセスの承認である場合に前記通知に対するアクセスの承認を前記アクセス制御子機に通知することを特徴とする。
【０００７】
そして、上述のアクセス制御システムにおいて、以下の態様が好ましい。まず、上述のアクセス制御システムにおいて、前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末と、前記所定のクライアントコンピュータに対応するネットワークカメラとをさらに備え、前記アクセス制御親機は、前記許否処理として、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスがあったこと及び前記ネットワークカメラで撮像した前記所定のクライアントコンピュータを使用する利用者に係る画像を前記承認者用ネットワーク端末の提示部に提示させ、前記承認者用ネットワーク端末の入力部から前記アクセスの承認及び不承認の何れか一方が入力された場合に該入力された前記アクセスの承認及び不承認の何れか一方を前記承認者用ネットワーク端末から受信し、該受信を前記許否処理の結果として受付けることを特徴とする。
【０００８】
また、上述のアクセス制御システムにおいて、前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末をさらに備え、前記アクセス制御親機は、前記許否処理として、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスがあったことを前記承認者用ネットワーク端末の提示部に提示させ、前記承認者用ネットワーク端末の入力部から前記アクセスの承認及び不承認の何れか一方が入力された場合に該入力された前記アクセスの承認及び不承認の何れか一方を前記承認者用ネットワーク端末から受信し、該受信を前記許否処理の結果として受付けることを特徴とする。
【０００９】
さらに、上述のアクセス制御システムにおいて、前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末をさらに備え、前記アクセス制御親機は、前記許否処理として、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスがあったこと及び前記所定のクライアントコンピュータを使用する利用者に係る電話機の電話番号を前記承認者用ネットワーク端末の提示部に提示させ、前記承認者用ネットワーク端末の入力部から前記アクセスの承認及び不承認の何れか一方が入力された場合に該入力された前記アクセスの承認及び不承認の何れか一方を前記承認者用ネットワーク端末から受信し、該受信を前記許否処理の結果として受付けることを特徴とする。
【００１０】
そして、上述のアクセス制御システムにおいて、前記通知に対するアクセスの許否を判断する権限を有する承認者が使用する承認者用ネットワーク端末をさらに備え、前記アクセス制御親機は、前記所定のクライアントコンピュータから前記所定のネットワーク資源へアクセスを承認するか否かの許否情報を前記承認者用ネットワーク端末から受信して記憶部にさらに記憶し、該許否情報に基づいて前記許否処理を実行することを特徴とする。
【００１１】
また、これら上述のアクセス制御システムにおいて、前記アクセス制御親機は、前記アクセス制御子機から前記アクセスの通知があった場合に前記アクセスの許否を調べる許否処理を実行する許否処理部と、前記許否処理の結果がアクセスの承認である場合に前記通知に対するアクセスの承認を前記アクセス制御子機に通知する通知処理部とを備えることを特徴とする。
【００１２】
さらに、これら上述のアクセス制御システムにおいて、前記アクセス制御親機は、前記アクセスの通知に係るログ及び前記通知に対するアクセスの承認に係るログを記憶するログ情報記憶部と、前記アクセス制御子機から前記アクセスの通知があった場合に前記ログ情報記憶部にログを記憶すると共に、前記通知に対するアクセスの承認を前記アクセス制御子機に通知した場合に前記ログ情報記憶部にログを記憶するログ処理部とをさらに備えることを特徴とする。
【００１３】
そして、これら上述のアクセス制御システムにおいて、前記アクセス制御子機は、前記所定のクライアントコンピュータを識別するための第１識別情報及び前記所定のネットワーク資源を識別するための第２識別情報を予め記憶する情報記憶部と、前記クライアントコンピュータから受信した通信信号の中から前記情報記憶部に予め記憶されている第１識別情報及び第２識別情報に基づいて前記所定のクライアントコンピュータから前記所定のネットワーク資源へのアクセスを検出し、前記所定のクライアントコンピュータから前記所定のネットワーク資源へのアクセスを検出した場合に前記アクセスを前記アクセス制御親機に通知すると共に、該通知に対するアクセスの承認が前記アクセス制御親機から通知された場合に前記アクセスを認めるアクセス処理部とを備えることを特徴とする。
【００１４】
また、これら上述のアクセス制御システムにおいて、前記アクセス制御子機は、前記クライアントコンピュータから前記サーバコンピュータへのアクセスがあった場合に前記アクセスを前記アクセス制御親機に通知する通信信号収集処理部をさらに備え、前記アクセス制御親機は、情報を提示する提示部と、情報を入力する入力部と、前記アクセスの通知に係る情報を記憶する支援情報記憶部と、前記アクセス制御子機の前記通信信号収集処理部から前記アクセスの通知があった場合に前記支援情報記憶部に前記アクセスの通知に係る情報を記憶すると共に、前記所定のクライアントコンピュータを識別するための第１識別情報及び前記所定のネットワーク資源を識別するための第２識別情報を前記入力部より入力する場合に、前記支援情報記憶部に記録した情報に基づいて前記第１識別情報及び前記第２識別情報を前記提示部に提示する支援処理部とをさらに備えることを特徴とする。
【００１５】
そして、本発明に係る他の一態様では、共有されるネットワーク資源を管理するサーバコンピュータと前記サーバコンピュータのクライアントコンピュータとの間に通信可能に配置され前記クライアントコンピュータから前記ネットワーク資源へのアクセスを制御するアクセス制御子機と、前記アクセス制御子機と通信可能であって前記アクセスの許否を前記アクセス制御子機に与えるアクセス制御親機とを備えるアクセス制御システムのアクセス制御方法において、前記アクセス制御子機が所定のクライアントコンピュータから予め設定された所定のネットワーク資源へのアクセスがあった場合に前記アクセスを前記アクセス制御親機に通知するステップと、前記アクセス制御親機が前記アクセス制御子機から前記アクセスの通知があった場合に前記アクセスの許否を調べる許否処理を実行するステップと、前記アクセス制御親機が前記許否処理の結果がアクセスの承認である場合に前記通知に対するアクセスの承認を前記アクセス制御子機に通知するステップと、前記アクセス制御子機が該通知に対するアクセスの承認が前記アクセス制御親機から通知された場合に前記アクセスを認めるステップとを備えることを特徴とする。
【発明の効果】
【００１６】
このような構成のアクセス制御システム及びアクセス制御方法では、所定のクライアントコンピュータからサーバコンピュータの所定のネットワーク資源へアクセスがあった場合に、アクセス制御子機は、アクセス制御親機に該アクセスを通知し、該アクセスの承認をアクセス制御親機から得た場合に該アクセスを認めるので、通常、アクセスが拒否されているクライアントコンピュータからサーバコンピュータのネットワーク資源へのアクセスでも、アクセスを認め、動的にアクセス権を変更することができる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明に係る実施形態を図面に基づいて説明する。なお、各図において同一の符号を付した構成は、同一の構成であることを示し、その説明を省略する。
（実施形態の構成）
図１は、実施形態に係るネットワークの構成を示す図である。図２は、実施形態に係るアクセス制御子機の構成を示すブロック図である。図３は、実施形態に係るアクセス制御親機の構成を示すブロック図である。図４は、実施形態に係る承認者マスタ情報テーブルの構成を示す図である。図５は、実施形態に係るアクティブ承認者情報テーブルの構成を示す図である。図６は、ログ情報テーブルの構成を示す図である。図７は、承認者が利用するコンピュータの構成を示す図である。図８は、利用者確認情報テーブルの構成を示す図である。
【００１８】
図１において、ネットワーク１は、アクセス制御親機１１と、アクセス制御子機１２と、ファイルサーバ（ＦＳ）１３と、コンピュータ１４、１６と、確認装置１５と、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１７と、ＤＮＳ（Domain Name System）サーバ１８と、ＰＤＣ（Primary Domain Controller）サーバ１９とを備え、これらアクセス制御親機１１、アクセス制御子機１２、コンピュータ１４、１６、確認装置１５、ＤＨＣＰサーバ１７、ＤＮＳサーバ１８及びＰＤＣサーバ１９は、有線又は無線の伝送路２０によって相互に通信可能に接続され、アクセス制御子機１２及びファイルサーバ１３は、有線又は無線の伝送路２１によって相互に通信可能に接続される。これらアクセス制御親機１１とアクセス制御子機１２とは、アクセス制御システムを構成する。
【００１９】
ＤＨＣＰサーバ１７は、ＩＰアドレス等のネットワーク１に接続するために必要な情報を管理して、コンピュータ１４、１６等のＤＨＣＰサーバ１７にとってのクライアントコンピュータに、ネットワーク１への接続時に動的にＩＰアドレス等の必要な情報を割り当てると共に終了時にＩＰアドレスを回収するサーバコンピュータである。
【００２０】
ＤＮＳサーバ１８は、ホスト名とＩＰアドレスの対応関係を記述したデータベースを管理して、コンピュータ１４、１６等のＤＮＳサーバ１８にとってのクライアントコンピュータからの要求に応じてホスト名からそのＩＰアドレスを検索し、検索結果をクライアントコンピュータに返信するサーバコンピュータである。
【００２１】
ＰＤＣサーバ１９は、ネットワーク１のユーザやセキュリティに関する情報を管理し、ユーザ認証を行うサーバコンピュータである。
【００２２】
ファイルサーバ１３は、ファイルを管理して、コンピュータ１６からの要求に応じてコンピュータ１６にファイルの利用を提供するサーバコンピュータである。ファイルの利用には、ファイルの閲覧、コンピュータ１６へのファイルのダウンロード（送信）、コンピュータ１６からのファイルのアップロード（受信）及びファイルの書換え等の各サービスが含まれ、ネットワーク１の運用に応じて１又は複数のサービスが適宜に選択される。
【００２３】
コンピュータ１６は、ファイルサーバ１３からファイルの利用の提供を受けるファイルサーバ１３にとってのクライアントコンピュータであり、ファイルサーバ１３におけるファイルの利用を望む利用者によって使用され得る。コンピュータ１６は、１又は複数が伝送路２０に接続されており、図１に示す例では、利用者Ａが使用するコンピュータ（ＰＣＡ）１６−Ａ、及び、利用者Ｂが使用するコンピュータ（ＰＣＢ）１６−Ｂが示されている。
【００２４】
ここで、本明細書において、総称する場合には添え字を省略した参照符号で示し、個別の構成を指す場合には添え字を付した参照符号で示す。
【００２５】
確認装置１５は、ファイルの利用の承認を要求している利用者が本人であるか否かを承認者が確認するための装置であり、利用者に対応させて設けられている。図１に示す例では、利用者Ａに対応して確認装置Ａ１５−Ａが設けられ、そして、利用者Ｂに対応して確認装置Ｂ１５−Ｂが設けられている。確認装置１５は、本実施形態では、例えば、被写体を撮像する撮像部とこの撮像部で撮像した被写体の画像を管理しネットワーク１を介して配信するウェブサーバ部とを備えるネットワークカメラ（ＰＣカメラ）であり、ネットワークカメラによって撮像された画像（静止画又は動画）が承認者が利用するコンピュータ１４に例えばウェブブラウザ（Web Browser）によって表示されるようになっている。
【００２６】
なお、例えば、被写体を撮像する撮像部とコンピュータ１６と通信するための通信インタフェース部とを備えるウェブカメラを用意すると共に、このウェブカメラと通信するための通信インタフェース部とウェブカメラで撮像した被写体の画像を管理しネットワーク１を介して配信するウェブサーバ部とをコンピュータ１６に備えさせることによって、ウェブカメラとコンピュータ１６とによってネットワークカメラを構成してもよい。
【００２７】
アクセス制御子機１２は、コンピュータ１６のファイルサーバ１３へのアクセスを検出し、この検出したアクセスが予め定められた種類のアクセスである場合にこのアクセスをアクセス制御親機１１に通知すると共に、この通知に対しアクセス制御親機１１から通知されたアクセスの承認及び不承認の指示に応じてその通過及び遮断を行うことにより、コンピュータ１６のファイルサーバ１３へのアクセスを制御する装置である。アクセス制御子機１２は、例えば、図２に示すように、演算処理部２０１と、記憶部２０２と、第１通信インタフェース部２０３と、第２通信インタフェース部２０４とを備える。
【００２８】
第１通信インタフェース部２０３は、伝送路２０に接続され、伝送路２０を介してコンピュータ１６及びアクセス制御親機１１等との間で通信信号をそれぞれ送受信するためのインタフェース回路であり、演算処理部２０１からのデータに基づいて伝送路２０の通信プロトコルに従った通信信号を作成すると共に伝送路２０からの通信信号を演算処理部２０１が処理可能な形式のデータに変換する。第２通信インタフェース部２０４は、伝送路２１に接続され、伝送路２１を介してファイルサーバ１３との間で通信信号をそれぞれ送受信するためのインタフェース回路であり、演算処理部２０１からのデータに基づいて伝送路２１の通信プロトコルに従った通信信号を作成すると共に伝送路２１からの通信信号を演算処理部２０１が処理可能な形式のデータに変換する。通信プロトコルには、例えばＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）等が用いられる。
【００２９】
記憶部２０２は、機能的に、ＭＡＣ情報を記憶するＭＡＣ情報記憶部２２１と、ＩＰアドレス情報を記憶するＩＰアドレス情報記憶部２２２と、ポート番号情報を記憶するポート番号情報記憶部２２３と、コマンド情報を記憶するコマンド情報記憶部２２４と、パラメータ情報を記憶するパラメータ情報記憶部２２５とを備え、コンピュータ１６からファイルサーバ１３への通信信号を検出すると共にその通信信号の通過及び遮断を制御するアクセス制御プログラム等の各種プログラム、及び、各種プログラムの実行に必要なデータやその実行中に生じるデータ等の各種データを記憶する。記憶部２０２は、例えば、演算処理部２０１の所謂ワーキングメモリとなるＲＡＭ（Random Access Memory）等の揮発性の記憶素子、ＲＯＭ（Read Only Memory）等の不揮発性の記憶素子、及び、ＭＡＣ情報やＩＰアドレス情報やポート番号情報等の書換える可能性のあるデータを記憶するために充分な容量に応じた、書換え可能な不揮発性の記憶素子であるＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等を備えて構成される。
【００３０】
ＭＡＣ情報は、コンピュータ１６からアクセス制御子機１２を介してファイルサーバ１３へ送信される通信信号のうち、アクセス制御子機１２を通過する場合にアクセス制御親機１１の許可が必要な通信信号のＭＡＣアドレス（Media Access Control Address）を表す情報である。本実施形態では、ＭＡＣ情報としてＭＡＣアドレスがそのままＭＡＣ情報記憶部２２１に記憶される。
【００３１】
ＩＰアドレス情報は、コンピュータ１６からアクセス制御子機１２を介してファイルサーバ１３へ送信される通信信号のうち、アクセス制御子機１２を通過する場合にアクセス制御親機１１の許可が必要な通信信号のＩＰアドレス（Internet Protocol Address）を表す情報である。本実施形態では、ＩＰアドレス情報としてＩＰアドレスがそのままＩＰアドレス情報記憶部２２２に記憶される。
【００３２】
ポート番号情報は、コンピュータ１６からアクセス制御子機１２を介してファイルサーバ１３へ送信される通信信号のうち、アクセス制御子機１２を通過する場合にアクセス制御親機１１の許可が必要な通信信号のポート番号を表す情報である。本実施形態では、ポート番号情報としてポート番号がそのままポート番号情報記憶部２２３に記憶される。ポート番号情報は、ネットワーク１で用いられるファイル共有プロトコルに応じて設定され、例えば、本実施形態のように、ファイル共有プロトコルとしてＳＭＢ（Server Message Block）が用いられる場合では「１３７」、「１３８」及び「１３９」であり、また例えば、ファイル共有プロトコルとしてＣＩＦＳ（Common Internet File System）が用いられＮｅｔＢＩＯＳ  ｏｖｅｒ  ＴＣＰ／ＩＰの場合では「１３９」及び「４４５」であり、また例えば、ファイル共有プロトコルとしてＣＩＦＳ（Common Internet File System）が用いられＤｉｒｅｃｔ  Ｈｏｓｔｉｎｇ  ｏｆ  ＳＭＢの場合では「４４５」である。
【００３３】
コマンド情報は、コンピュータ１６からアクセス制御子機１２を介してファイルサーバ１３へ送信される通信信号のうち、アクセス制御子機１２を通過する場合にアクセス制御親機１１の許可が必要な通信信号のコマンドを表す情報である。本実施形態では、コマンド情報としてＳＭＢのコマンドがそのままコマンド情報記憶部２２４に記憶される。ＳＭＢのコマンドのうち、どのようなコマンドがコマンド情報として扱われるかは、ネットワーク１の運用によって適宜設定される。例えば、ＳＭＢのコマンドのうち、フォルダの作成（ＳＭＢ＿ＣＯＭ＿ＣＲＥＡＴＥ＿ＤＩＲＥＣＴＯＲＹ）やフォルダの削除（ＳＭＢ＿ＣＯＭ＿ＤＥＬＥＴＥ＿ＤＩＲＥＣＴＯＲＹ）やファイルのオープン（ＳＭＢ＿ＣＯＭ＿ＯＰＥＮ）やファイルの名前変更（ＳＭＢ＿ＣＯＭ＿ＲＥＮＡＭＥ）等のフォルダ及びファイルの操作に関するコマンドがコマンド情報とされる。
【００３４】
パラメータ情報は、コンピュータ１６からアクセス制御子機１２を介してファイルサーバ１３へ送信される通信信号のうち、アクセス制御子機１２を通過する場合にアクセス制御親機１１の許可が必要な通信信号のパラメータを表す情報である。本実施形態では、ＳＭＢが用いられるので、パラメータ情報としてＳＭＢのコマンドにおけるパラメータがそのままパラメータ情報記憶部２２５に記憶される。ＳＭＢのコマンドにおけるパラメータのうち、どのようなパラメータがパラメータ情報として扱われるかは、ネットワーク１の運用によって適宜設定される。パラメータ情報は、本実施形態では、例えば、コンピュータ１６の利用者がアクセスする場合に承認者の承認を必要とするフォルダ名やファイル名である。
【００３５】
演算処理部２０１は、例えば、マイクロプロセッサ及びその周辺回路等を備えて構成され、コンピュータ１６のファイルサーバ１３へのアクセスを検出し、この検出したアクセスが予め定められた種類のアクセスである場合にこのアクセスをアクセス制御親機１１に通知し、この通知に対しアクセス制御親機１１から通知されたアクセスの承認及び不承認の指示に応じてその通過及び遮断を行うと共に、制御プログラムに従って記憶部２０２、第１及び第２通信インタフェース部２０３、２０４を当該機能に応じてそれぞれ制御する。演算処理部２０１は、コンピュータ１６のファイルサーバ１３へのアクセスを検出し、この検出したアクセスが予め定められた種類のアクセスである場合にこのアクセスをアクセス制御親機１１に通知し、この通知に対しアクセス制御親機１１から通知されたアクセスの承認及び不承認の指示に応じてその通過及び遮断を行うために、機能的に、通過遮断処理部２１１と、ＭＡＣ比較部２１２と、ＩＰアドレス比較部２１３と、ポート番号比較部２１４と、コマンド比較部２１５と、パラメータ比較部２１６と、タイマ部２１７とを備える。
【００３６】
通過遮断処理部２１１は、第１通信インタフェース部２０３から通信信号を受信すると、この受信した通信信号を記憶部２０２に一時的に記憶し、この記憶部２０２におけるこの通信信号の記憶位置を示す位置情報をＭＡＣ比較部２１２に通知する。通過遮断処理部２１１は、ＭＡＣ比較部２１２、ＩＰアドレス比較部２１３、ポート番号比較部２１４、コマンド比較部２１５、パラメータ比較部２１６及びタイマ部２１７の何れかからこの通信信号に対する通過を指示する旨の通知（通過指示通知）を受けた場合にこの受信した通信信号を通過させる（ファイルサーバ１３へ転送する）と共にログを記録するためにこの通過させた通信信号の複製を第１通信インタフェース部２０３を介してアクセス制御親機１１に送信する。そして、通過遮断処理部２１１は、タイマ部２１７から承認者による通過の承認が必要である旨の通知（承認要求通知）を受けた場合に、この受信した通信信号における通過の許否を問い合せる通信信号（通過問合せ信号）を第１通信インタフェース部２０３を用いてアクセス制御親機１１に送信し、第１通信インタフェース部２０３を介して受信したアクセス制御親機１１の承認及び不承認の指示に応じてその通過及び遮断を行う。
【００３７】
ＭＡＣ比較部２１２は、受信した通信信号に係る位置情報が通過遮断処理部２１１から通知されると、この通知された位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して送信元のＭＡＣアドレスを取り出し、この取り出した送信元のＭＡＣアドレスとＭＡＣ情報記憶部２２１に記憶されているＭＡＣ情報とを比較し、この比較の結果に応じて通過遮断処理部２１１に対する通過指示通知の通知及びＩＰアドレス比較部２１３に対するこの通信信号に係る位置情報の通知のうちの何れかを行う。
【００３８】
ＩＰアドレス比較部２１３は、受信した通信信号に係る位置情報がＭＡＣ比較部２１２から通知されると、この通知された位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して送信元のＩＰアドレスを取り出し、この取り出した送信元のＩＰアドレスとＩＰアドレス情報記憶部２２２に記憶されているＩＰアドレス情報とを比較し、この比較の結果に応じて通過遮断処理部２１１に対する通過指示通知の通知及びポート番号比較部２１４に対するこの通信信号に係る位置情報の通知のうちの何れかを行う。
【００３９】
ポート番号比較部２１４は、受信した通信信号に係る位置情報がＩＰアドレス比較部２１３から通知されると、この通知された位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して送信先のポート番号を取り出し、この取り出した送信先のポート番号とポート番号情報記憶部２２３に記憶されているポート番号情報とを比較し、この比較の結果に応じて通過遮断処理部２１１に対する通過指示通知の通知及びコマンド比較部２１５に対するこの通信信号に係る位置情報の通知のうちの何れかを行う。
【００４０】
コマンド比較部２１５は、受信した通信信号に係る位置情報がポート番号比較部２１４から通知されると、この通知された位置情報に基づいて記憶部２０２に記憶されている通信信号を特定してＳＭＢのコマンドを取り出し、この取り出したＳＭＢのコマンドとコマンド情報記憶部２２４に記憶されているコマンド情報とを比較し、この比較の結果に応じて通過遮断処理部２１１に対する通過指示通知の通知及びパラメータ比較部２１６に対するこの通信信号に係る位置情報の通知のうちの何れかを行う。
【００４１】
パラメータ比較部２１６は、受信した通信信号に係る位置情報がコマンド比較部２１５から通知されると、この通知された位置情報に基づいて記憶部２０２に記憶されている通信信号を特定してＳＭＢにおけるコマンドのパラメータを取り出し、この取り出したＳＭＢにおけるコマンドのパラメータとパラメータ情報記憶部２２５に記憶されているパラメータ情報とを比較し、この比較の結果に応じて通過遮断処理部２１１に対する通過指示通知の通知及びタイマ部２１７に対するこの通信信号に係る位置情報の通知のうちの何れかを行う。
【００４２】
タイマ部２１７は、アクセス制御親機１１から自機の通過を許可された通信信号ごとに該許可の通知を受信した時点から所定時間の計時を行う。そして、タイマ部２１７は、受信した通信信号に係る位置情報がパラメータ比較部２１６から通知されると、この通知された位置情報に基づいてこの通信信号を特定して、この通信信号に対応する計時が行われている場合には、通過遮断処理部２１１に通過指示通知を通知し、この通知された通信信号に対応する計時が行われていない場合には、この通知された通信信号に対する承認要求通知を通過遮断処理部２１１に通知する。例えば、タイマ部２１７は、この通知された位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して送信元のＭＡＣアドレス及び／又は送信元のＩＰアドレスとＳＭＢのコマンドにおけるパラメータとの組に対応させて所定時間の計時を行う個別のタイマを生成し、そして、受信した通信信号に係る位置情報がパラメータ比較部２１６から通知されると、この通知された位置情報に基づいてこの通信信号を特定して送信元のＭＡＣアドレス及び／又は送信元のＩＰアドレスとＳＭＢのコマンドにおけるパラメータとを取り出し、この取り出した送信元のＭＡＣアドレス及び／又は送信元のＩＰアドレスとＳＭＢのコマンドにおけるパラメータとの組に対応するタイマを検索することによって、この通信信号に対応する計時が行われているか否かを判断し、判断の結果に応じて通過遮断処理部２１１に通過指示通知又は承認要求通知を通知する。
【００４３】
ここで、請求項のクライアントコンピュータを識別するための第１識別情報は、上記送信元のＭＡＣアドレス及び／又は送信元のＩＰアドレスがその一例に相当し、請求項のネットワーク資源を識別するための第２識別情報は、上記ＳＭＢのコマンドにおけるパラメータがその一例に相当し、請求項の情報記憶部は、上記ＭＡＣ情報記憶部２２１、ＩＰアドレス情報記憶部２２２、ポート番号情報記憶部２２３、コマンド情報記憶部２２４及びパラメータ情報記憶部２２５がその一例に相当し、請求項のアクセス処理部は、上記通過遮断処理部２１１、ＭＡＣ比較部２１２、ＩＰアドレス比較部２１３、ポート番号比較部２１４、コマンド比較部２１５、パラメータ比較部２１６及びタイマ部２１７がその一例に相当する。
【００４４】
図１に戻って、アクセス制御親機１１は、アクセス制御子機１２から通過問合せ信号を受信すると、通過問合せ信号に係る通信信号における通過の許否を調べる許否処理を実行し、この許否処理の結果をアクセス制御子機１２に返信する処理を実行する装置である。本実施形態では、アクセス制御親機１１は、アクセス制御子機１２から通過問合せ信号を受信すると、通過問合せ信号に係る通信信号の通過の許否を判断する権限を有する承認者が利用するコンピュータ１４に当該通信信号の通過の承認を要求する通信信号（承認要求信号）を送信し、この承認要求信号に対する返信を受信することによって、通過問合せ信号に係る通信信号における通過の許否を調べ、この結果をアクセス制御子機１２に返信する。アクセス制御親機１１は、例えば、図３に示すように、演算処理部１０１と、記憶部１０２と、通信インタフェース部１０３と、入力部１０４と、出力部１０５とを備える。
【００４５】
通信インタフェース部１０３は、伝送路２０に接続され、伝送路２０を介してアクセス制御子機１２及びコンピュータ１４等との間で通信信号をそれぞれ送受信するためのインタフェース回路であり、演算処理部１０１からのデータに基づいて伝送路２０の通信プロトコルに従った通信信号を作成すると共に伝送路２０からの通信信号を演算処理部１０１が処理可能な形式のデータに変換する。
【００４６】
記憶部１０２は、機能的に、環境情報を記憶する環境情報記憶部１２１と、承認者マスタ情報を記憶する承認者マスタ情報記憶部１２２と、アクティブ承認者情報を記憶するアクティブ承認者情報記憶部１２３と、ログ情報を記憶するログ情報記憶部１２４とを備え、アクセス制御子機１２からの通過問合せ信号に応じてこの通過問合せ信号に係る通信信号における通過の許否を調べる処理する許否処理プログラム等の各種プログラム、及び、各種プログラムの実行に必要なデータやその実行中に生じるデータ等の各種データを記憶する。記憶部１０２は、例えば、演算処理部１０１の所謂ワーキングメモリとなるＲＡＭ等の揮発性の記憶素子、ＲＯＭ等の不揮発性の記憶素子、及び、環境情報、承認者マスタ情報、アクティブ承認者情報及びログ情報等の書換える可能性のあるデータを記憶するために充分な容量に応じた、書換え可能な不揮発性の記憶素子であるＥＥＰＲＯＭや比較的大容量の記憶装置であるハードディスク等を備えて構成される。
【００４７】
環境情報は、ＤＨＣＰサーバ１７やＤＮＳサーバ１８やＰＤＣサーバ等のＩＰアドレス及びワークグループ名等のネットワーク１で通信を行うために必要な情報である。
【００４８】
承認者マスタ情報は、利用者によるコンピュータ１６からファイルサーバ１３のフォルダやファイルへのアクセスを承認する権限を有する承認者の情報であり、利用者を特定する利用者情報と、アクセスの対象であるフォルダやファイルを特定するネットワーク資源情報と、当該利用者のアクセスを承認する権限を有する承認者を特定する承認者情報とを備えて構成される。承認者マスタ情報は、本実施形態では、テーブル形式で承認者マスタ情報記憶部１２２に記憶されており、承認者マスタ情報を登録する承認者マスタ情報テーブル１３０は、例えば図４に示すように、利用者が利用するコンピュータを特定し識別する識別子であるアクセス装置識別子を登録するアクセス装置情報フィールド１３１、ネットワーク資源情報を登録するネットワーク資源情報フィールド１３２、及び、承認者が利用するコンピュータを特定し識別する識別子である承認装置識別子を登録する承認装置情報サブフィールド１３３１と承認者が当該コンピュータを利用して承認を実行し得る状況にあるか否かの情報（承認装置状態情報）を登録する承認装置状態サブフィールド１３３２とから構成される承認情報フィールド１３３の各フィールドを備えて構成され、アクセス装置識別子とネットワーク資源情報との組に応じてレコードが作成される。承認情報フィールド１３３には、１個のアクセス装置識別子とネットワーク資源情報との組に対し、複数の承認者からの承認を得てアクセス可能とする観点から、承認装置情報サブフィールド１３３１と承認装置状態サブフィールド１３３２との組が複数備えられる。
【００４９】
アクセス装置識別子は、利用者情報として用いられ、コンピュータ１６を特定し識別することができれば、任意の符号列（１符号も含む）でよいが、コンピュータ１６にアクセス装置識別子を新たに組み込んだり、通信信号にアクセス装置識別子を新たに組み込んだりする必要がないことから、既存の例えばＭＡＣアドレスやＩＰアドレス等が好適であり、本実施形態ではＩＰアドレスが利用される。ネットワーク資源情報は、本実施形態では、フォルダ名（ディレクトリ名）やファイル名が利用される。承認装置識別子は、承認者情報として用いられ、コンピュータ１４を特定し識別することができれば、任意の符号列（１符号も含む）でよいが、上記と同様の理由から既存の例えばＭＡＣアドレスやＩＰアドレス等が好適であり、本実施形態ではＩＰアドレスが利用される。承認装置状態情報は、本実施形態では、承認者が当該コンピュータを利用して承認を実行し得る状況にあることを表す符号（例えば「アクティブ」、あるいは「在席」等）、及び、承認者が当該コンピュータを利用して承認を実行し得る状況にないことを表す符号（例えば、「スリープ」、あるいは「不在」等）によって示される。
【００５０】
アクティブ承認者情報は、例えば欠勤や不在等の理由で承認者がコンピュータ１４を利用し得ない状況にあるために承認を実行できない場合に対処するために、承認者マスタ情報のうち当該時点において承認を実行し得る状況にある承認者の情報である。アクティブ承認者情報は、本実施形態では、テーブル形式でアクティブ承認者情報記憶部１２３に記憶されており、アクティブ承認者情報を登録するアクティブ承認者情報テーブル１４０は、例えば図５に示すように、アクセス装置識別子を登録するアクセス装置情報フィールド１４１、ネットワーク資源情報を登録するネットワーク資源情報フィールド１４２、及び、承認装置識別子を登録する承認装置情報フィールド１４３の各フィールドを備えて構成され、アクセス装置識別子とネットワーク資源情報との組に応じてレコードが作成される。承認装置情報フィールド１４３は、承認者マスタ情報テーブル１３０の承認装置情報サブフィールド１３３１（又は承認装置状態サブフィールド１３３２）の個数に応じた個数のサブフィールドから構成される。
【００５１】
ログ情報は、コンピュータ１６がファイルサーバ１３へアクセスした記録に関する情報である。ログ情報は、本実施形態では、コンピュータ１４がファイルサーバ１３へアクセスした時刻を示すアクセス時刻情報、利用者を特定する利用者情報、承認者を特定する承認者情報、アクセスの対象となったネットワーク資源を示すネットワーク資源情報、及び、アクセスの内容を示すアクセス内容である。ログ情報は、本実施形態では、テーブル形式でログ情報記憶部１２４に記憶されており、ログ情報を登録するログ情報テーブル１５０は、例えば図６に示すように、アクセス時刻情報を登録するアクセス時刻情報フィールド１５１、アクセス装置識別子を登録するアクセス装置情報フィールド１５２、承認装置識別子を登録する承認装置情報フィールド１５３、ネットワーク資源情報を登録するネットワーク資源情報フィールド１５４、及び、アクセスの内容を登録するアクセス内容フィールド１５５の各フィールドを備えて構成され、アクセスごとにレコードが作成される。
【００５２】
アクセスの内容は、本実施形態では、例えば、コンピュータ１６がファイルサーバ１３にネットワーク資源のアクセスを要求したこと（この場合、アクセス内容フィールド１５５には例えば「アクセス要求」が登録される。）や、コンピュータ１６がファイルサーバ１３のネットワーク資源に実際にアクセスしたこと（この場合、アクセス内容フィールド１５５には例えば「アクセス実行」が登録される）等である。なお、「アクセス実行」の代わりに、ファイルの利用形態（例えば「閲覧」、「ダウンロード」、「アップロード」及び「書換え」等）でもよい。
【００５３】
このような各フィールドを備えることによって、ログ情報テーブル１５０には、誰が何時どのようなネットワーク資源に対しアクセス要求をしたのか（図６のレコード（Ａ））、アクセス要求に対し誰が承認したのか（図６のレコード（Ｂ））、及び、誰が何時どのようなネットワーク資源に対しアクセスを実行したのか（図６のレコード（Ｃ））が記録される。
【００５４】
演算処理部１０１は、例えば、マイクロプロセッサ及びその周辺回路等を備えて構成され、アクセス制御子機１２から通過問合せ信号を受信すると、通過問合せ信号に係る通信信号における通過の許否を調べる許否処理を実行し、この許否処理の結果をアクセス制御子機１２に返信する処理を実行し、そして、入力部１０４からアクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報が入力されると、通信インタフェース部１０３を用いてこれら情報をアクセス制御子機１２に登録すると共に、制御プログラムに従って記憶部１０２、通信インタフェース部１０３、入力部１０４及び出力部１０５を当該機能に応じてそれぞれ制御する。演算処理部１０１は、アクセス制御子機１２から通過問合せ信号を受信すると、通過問合せ信号に係る通信信号における通過の許否を判断し、この判断結果をアクセス制御子機１２に返信する処理を実行するために、機能的に、初期設定処理部１１１と、承認要求処理部１１２と、承認プロセストリガ部１１３と、承認プロセス処理部１１４と、承認要求応答処理部１１５と、アクティブ承認者処理部１１８とを備え、入力部１０４からアクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報が入力されると、通信インタフェース部１０３を用いてこれら情報をアクセス制御子機１２に登録する処理を実行するために、機能的に、初期設定処理部１１１を備え、そして、コンピュータ１６からファイルサーバ１３へのログを記録するために、機能的に、カレンダ部１１６とログ処理部（ロガー）１１７とを備える。
【００５５】
初期設定処理部１１１は、入力部１０４から環境情報が入力されるとこの環境情報を記憶部１０２の環境情報記憶部１２１に記憶し、入力部１０４から承認者マスタ情報が入力されるとこの承認者マスタ情報を記憶部１０２の承認者マスタ情報記憶部１２２に記憶し、コンピュータ１４から承認装置状態の変更要求を受付けると承認装置状態を変更すると共にアクティブ承認者処理部１１８を起動するトリガをアクティブ承認者処理部１１８に通知し、そして、入力部１０４からアクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報が入力されると、通信インタフェース部１０３を用いてこれら情報をアクセス制御子機１２に登録する処理を実行する。
【００５６】
承認要求処理部１１２は、通信インタフェース部１０３で受信した通信信号の中から通過問合せ信号を検出し、通過問合せ信号が検出されると、キューと呼ばれるファイルに一旦蓄積し、順次に通過問合せ信号を検出した旨を承認プロセストリガ部１１３に通知する。承認プロセストリガ部１１３は、承認要求処理部１１２から通過問合せ信号を検出した旨の通知を受けると、承認プロセスを起動する。承認プロセス処理部１１４は、通過問合せ信号に係る通信信号における通過の許否を判断し、この判断結果を承認要求応答処理部１１５に通知する。承認要求応答処理部１１５は、この判断結果をキューに一旦蓄積し、順次にこの判断結果をアクセス制御子機１２に返信する処理を実行する。アクティブ承認者処理部１１８は、初期設定処理部１１１から起動のトリガを受付けると、承認者マスタ情報記憶部１２２に記憶されている承認者マスタ情報に基づいてアクティブ承認者情報を生成し、この生成したアクティブ承認者情報をアクティブ承認者情報記憶部１２３に記憶し、更新する。
【００５７】
カレンダ部１１６は、年月日時分秒の計時を行い、ログ処理部１１７から時刻の問合せを受けると現在の年月日時分秒をログ処理部１１７に通知する。ログ処理部１１７は、カレンダ部１１６に現在時刻の問合せを行って、ログ情報をログ情報記憶部１２４に記憶する。
【００５８】
入力部１０４は、運用開始コマンド等の各種コマンド、及び、承認者マスタ情報等の各種データをアクセス制御親機１１に入力すると共に、アクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報を入力する機器であり、例えば、キーボードやマウス等である。出力部１０５は、入力部１０４から入力されたコマンドやデータ等を出力する機器であり、例えばＣＲＴディスプレイ、ＬＣＤ、有機ＥＬディスプレイ又はプラズマディスプレイ等の表示装置やプリンタ等の印字装置等である。
【００５９】
ここで、請求項の通信部は、請求項の許否処理部は、承認要求処理部１１２、承認プロセストリガ部１１３及び承認プロセス処理部１１４がその一例に相当し、請求項の通知処理部は、承認要求応答処理部１１５がその一例に相当する。
【００６０】
コンピュータ１４は、承認者によって使用され得、アクセス制御親機１１の要求に応じて、承認者から利用者による利用を承認するか否かを示す情報を受付け、受付けた情報をアクセス制御親機１１に通知するネットワーク端末である。コンピュータ１４は、１又は複数が伝送路２０に接続されており、図１に示す例では、承認者Ｘが使用するコンピュータ（ＰＣＸ）１４−Ｘ、及び、承認者Ｙが使用するコンピュータ（ＰＣＹ）１４−Ｙが示されている。
【００６１】
コンピュータ１４は、例えば、図７に示すように、演算処理部４０１と、記憶部４０２と、通信インタフェース部４０３と、入力部４０４と、出力部４０５とを備える。
【００６２】
通信インタフェース部４０３は、伝送路２０に接続され、伝送路２０を介してアクセス制御親機１１及び確認装置１５等との間で通信信号をそれぞれ送受信するためのインタフェース回路であり、演算処理部４０１からのデータに基づいて伝送路２０の通信プロトコルに従った通信信号を作成すると共に伝送路２０からの通信信号を演算処理部４０１が処理可能な形式のデータに変換する。
【００６３】
記憶部４０２は、機能的に、利用者確認情報を記憶する利用者確認情報記憶部４２１を備え、各種プログラム、及び、各種プログラムの実行に必要なデータやその実行中に生じるデータ等の各種データを記憶する。記憶部４０２は、例えば、演算処理部４０１の所謂ワーキングメモリとなるＲＡＭ等の揮発性の記憶素子、ＲＯＭ等の不揮発性の記憶素子、及び、利用者情報等の書換える可能性のあるデータを記憶するために充分な容量に応じた、書換え可能な不揮発性の記憶素子であるＥＥＰＲＯＭや比較的大容量の記憶装置であるハードディスク等を備えて構成される。
【００６４】
利用者確認情報は、承認を求めている利用者が利用者本人であるか否かを確認するための情報であり、本実施形態では、例えば、利用者の利用者名と、当該利用者名の利用者が利用するコンピュータ１６のアクセス装置識別子（本実施形態ではＩＰアドレス）と、当該利用者名の利用者が利用者本人であるか否かを確認する確認装置１５を特定し識別する識別子（確認装置識別子）とを備える。確認装置識別子は、確認装置１５を特定し識別することができれば、任意の符号列（１符号も含む）でよいが、本実施形態では確認装置１５がネットワークカメラであるのでＩＰアドレスが利用される。利用者確認情報は、本実施形態では、テーブル形式で利用者確認情報記憶部４２１に記憶されており、利用者確認情報を登録する利用者確認情報テーブル１６０は、例えば図８に示すように、コンピュータ１６のアクセス装置識別子を登録するアクセス装置情報フィールド１６１、利用者名を登録する利用者名フィールド１６２、及び、確認装置識別子（確認装置１５のＩＰアドレス）を登録する確認装置情報フィールド１６３の各フィールドを備えて構成され、コンピュータ１６のＩＰアドレスごとにレコードが作成される。
【００６５】
演算処理部４０１は、例えば、マイクロプロセッサ及びその周辺回路等を備えて構成され、機能的に、アクセス制御親機１１から承認要求信号を受信するとウェブブラウザ部４１２を起動するＰｕｓｈ受信サービス部４１１と、利用者を確認し、承認又は不承認を行うべく、後述の承認要求ページを出力部４０５に表示するウェブブラウザ部４１２とを備え、制御プログラムに従って記憶部４０２、通信インタフェース部４０３、入力部４０４及び出力部４０５を当該機能に応じてそれぞれ制御する。
【００６６】
入力部４０４は、各種コマンド及び各種データをコンピュータ１４に入力する機器であり、例えば、キーボードやマウス等である。出力部４０５は、入力部４０４から入力されたコマンドやデータ等を出力する機器であり、例えばＣＲＴディスプレイ、ＬＣＤ、有機ＥＬディスプレイ又はプラズマディスプレイ等の表示装置やプリンタ等の印字装置等である。
【００６７】
次に、本実施形態の動作について説明する。
（実施形態の動作）
まず、アクセス制御親機１１及びアクセス制御子機１２を運用する前に、システム管理者等のユーザは、アクセス制御親機１１の入力部１０４を用いて、環境情報及び承認者マスタ情報を入力する。これら環境情報及び承認者マスタ情報の各情報が入力されると、演算処理部１０１の初期設定処理部１１１は、これら環境情報及び承認者マスタ情報を記憶部１０２の環境情報記憶部１２１及び承認者マスタ情報記憶部１２２にそれぞれ記憶する。
【００６８】
そして、ユーザは、アクセス制御親機１１の入力部１０４を用いて、アクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報を入力する。これらＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報が入力されると、演算処理部１０１の初期設定処理部１１１は、これらＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報とこれら各情報を記憶部２０２に登録する指示とを収容した通信信号（設定情報信号）を作成し、この設定情報信号を通信インタフェース部１０３を用いてアクセス制御子機１２に送信する。この設定情報信号を伝送路２０を介して第１通信インタフェース部２０３で受信すると、アクセス制御子機１２の演算処理部２０１はこれらＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報を記憶部２０２のＭＡＣ情報記憶部２２１、ＩＰアドレス情報記憶部２２２、ポート番号情報記憶部２２３、コマンド情報記憶部２２４及びパラメータ情報記憶部２２５にそれぞれ記憶する。このようにアクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報は、アクセス制御親機１１を介して記憶部２０２に記憶されるので、アクセス制御子機１２に入力部や出力部を必ずしも備える必要がなく、コストを削減することができ、小型化することができる。
【００６９】
このような各情報がアクセス制御親機１１及びアクセス制御子機１２にそれぞれ記憶されると、これらアクセス制御親機１１及びアクセス制御子機１２の運用が開始される。
【００７０】
承認者は、コンピュータ１４を利用して承認を実行し得る状況になると、承認可能である旨を収容した通信信号（承認可能通知信号）をアクセス制御親機１１に送信する。アクセス制御親機１１の演算処理部１０１における初期設定処理部１１１は、この承認可能通知信号を受信すると、承認可能通知信号のＩＰアドレスを取り出し、この取り出したＩＰアドレスを承認情報フィールド１３３の承認装置情報サブフィールド１３３１に登録するレコードを検索し、検索したレコードにおける承認装置状態サブフィールド１３３２に本実施形態では「アクティブ」を登録する。そして、初期設定処理部１１１は、アクティブ承認者処理部１１８を起動するトリガをアクティブ承認者処理部１１８に通知する。この通知を受付けると、承認者マスタ情報記憶部１２２に記憶されている承認者マスタ情報に基づいてアクティブ承認者情報を生成し、この生成したアクティブ承認者情報をアクティブ承認者情報記憶部１２３に記憶する。
【００７１】
一方、承認者は、コンピュータ１４を利用して承認を実行し得ない状況になると、承認不可能である旨を収容した通信信号（承認不可通知信号）をアクセス制御親機１１に送信する。アクセス制御親機１１の演算処理部１０１における初期設定処理部１１１は、この承認不可通知信号を受信すると、承認不可通知信号のＩＰアドレスを取り出し、この取り出したＩＰアドレスを承認情報フィールド１３３の承認装置情報サブフィールド１３３１に登録するレコードを検索し、検索したレコードにおける承認装置状態サブフィールド１３３２に本実施形態では「スリープ」を登録する。そして、初期設定処理部１１１は、アクティブ承認者処理部１１８を起動するトリガをアクティブ承認者処理部１１８に通知する。この通知を受付けると、承認者マスタ情報記憶部１２２に記憶されている承認者マスタ情報に基づいてアクティブ承認者情報を生成し、この生成したアクティブ承認者情報をアクティブ承認者情報記憶部１２３に記憶する。
【００７２】
このように初期設定処理部１１１及びアクティブ承認者処理部１１８は、動作するので、承認者が承認を実行し得るか否かの状況に合わせて、略リアルタイムにアクティブ承認者情報記憶部１２３のアクティブ承認者情報を更新することができる。
【００７３】
図９は、利用者のコンピュータ、確認装置、承認者のコンピュータ、アクセス制御親機、アクセス制御子機及びファイルサーバの動作を説明するためのシーケンスを示す図である。図１０及び図１１は、アクセス制御子機の動作を示すフローチャートである。図１２は、アクセス制御親機の動作を示すフローチャートである。
【００７４】
図９において、利用者のコンピュータ１６は、ファイルサーバ１３のネットワーク資源、例えばファイルを利用するために、ファイルサーバ１３へアクセス要求を送信する（Ｃ１１）。このアクセス要求の通信信号は、伝送路２０を介してアクセス制御子機１２に受信される。
【００７５】
通信信号を受信すると、図１０及び図１１において、アクセス制御子機１２の演算処理部２０１における通過遮断処理部２１１は、この受信した通信信号を記憶部２０２に一時的に記憶し、この記憶部２０２におけるこの通信信号の記憶部２０２における記憶位置を示す位置情報をＭＡＣ比較部２１２に通知する（Ｓ１１）。
【００７６】
次に、アクセス制御子機１２の演算処理部２０１は、通過の承認を受けるべきＭＡＣアドレスを持つ通信信号であるか否かを判断する（Ｓ１２）。判断の結果、通過の承認を受けるべきＭＡＣアドレスを持つ通信信号であると判断した場合（Ｙｅｓ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ１３を実行し、一方、この判断の結果、通過の承認を受けるべきＭＡＣアドレスを持つ通信信号ではないと判断した場合（Ｎｏ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ２３を実行する。
【００７７】
より具体的には、本実施形態では、受信した通信信号に係る位置情報の通知を受けると、アクセス制御子機１２の演算処理部２０１におけるＭＡＣ比較部２１２は、この通知を受けた位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して通信信号における送信元のＭＡＣアドレスを取り出し、この取り出したＭＡＣアドレスとＭＡＣ情報記憶部２２１に記憶されているＭＡＣ情報とを比較し、ＭＡＣ情報にこの取り出したＭＡＣアドレスと一致するＭＡＣ情報があるか否かを判断する。この判断の結果、一致するＭＡＣ情報がある場合には、ＭＡＣ比較部２１２は、この受信した通信信号が通過の承認を受けるべきＭＡＣアドレスを持つ通信信号であると判断し、ＩＰアドレス比較部２１３にこの通信信号に係る位置情報を通知する。一方、この判断の結果、一致するＭＡＣ情報がない場合には、ＭＡＣ比較部２１２は、この受信した通信信号が通過の承認を受けるべきＭＡＣアドレスを持つ通信信号ではないと判断し、通信信号の通過を指示する旨と通信信号に係る位置情報との通知（通過指示通知）を通過遮断処理部２１１に行う。
【００７８】
処理Ｓ２３において、アクセス制御子機１２の演算処理部２０１は、通信信号を第２通信インタフェース部２０４を用いてファイルサーバ１３に転送し、通信信号を通過させる。より具体的には、通過指示通知を受付けると、通過遮断処理部２１１は、通信信号に係る位置情報に基づいて記憶部２０２に記憶しておいた通信信号を取り出し、この通信信号を第２通信インタフェース部２０４を用いてファイルサーバ１３に転送する。
【００７９】
処理Ｓ１３において、アクセス制御子機１２の演算処理部２０１は、通過の承認を受けるべきＩＰアドレスを持つ通信信号であるか否かを判断する。判断の結果、通過の承認を受けるべきＩＰアドレスを持つ通信信号であると判断した場合（Ｙｅｓ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ１４を実行し、一方、この判断の結果、通過の承認を受けるべきＩＰアドレスを持つ通信信号ではないと判断した場合（Ｎｏ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ２３を実行する。
【００８０】
より具体的には、本実施形態では、受信した通信信号に係る位置情報の通知を受けると、アクセス制御子機１２の演算処理部２０１におけるＩＰアドレス比較部２１３は、この通知を受けた位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して通信信号における送信元のＩＰアドレスを取り出し、この取り出したＩＰアドレスとＩＰアドレス情報記憶部２２２に記憶されているＩＰアドレス情報とを比較し、ＩＰアドレス情報にこの取り出したＩＰアドレスと一致するＩＰアドレス情報があるか否かを判断する。この判断の結果、一致するＩＰアドレス情報がある場合には、ＩＰアドレス比較部２１３は、この受信した通信信号が通過の承認を受けるべきＩＰアドレスを持つ通信信号であると判断し、ポート番号比較部２１４にこの通信信号に係る位置情報を通知する。一方、この判断の結果、一致するＩＰアドレス情報がない場合には、ＩＰアドレス比較部２１３は、この受信した通信信号が通過の承認を受けるべきＩＰアドレスを持つ通信信号ではないと判断し、通過遮断処理部２１１に通過指示通知を通知する。
【００８１】
処理Ｓ１４において、アクセス制御子機１２の演算処理部２０１は、通過の承認を受けるべきポート番号を持つ通信信号であるか否かを判断する。判断の結果、通過の承認を受けるべきポート番号を持つ通信信号であると判断した場合（Ｙｅｓ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ１５を実行し、一方、この判断の結果、通過の承認を受けるべきポート番号を持つ通信信号ではないと判断した場合（Ｎｏ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ２３を実行する。
【００８２】
より具体的には、本実施形態では、受信した通信信号に係る位置情報の通知を受けると、アクセス制御子機１２の演算処理部２０１におけるポート番号比較部２１４は、この通知を受けた位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して通信信号における送信先のポート番号を取り出し、この取り出したポート番号とポート番号情報記憶部２２３に記憶されているポート番号情報とを比較し、ポート番号情報にこの取り出したポート番号と一致するポート番号情報があるか否かを判断する。この判断の結果、一致するポート番号情報がある場合には、ポート番号比較部２１４は、この受信した通信信号が通過の承認を受けるべきポート番号を持つ通信信号であると判断し、コマンド比較部２１５にこの通信信号に係る位置情報を通知する。一方、この判断の結果、一致するポート番号情報がない場合には、ポート番号比較部２１４は、この受信した通信信号が通過の承認を受けるべきポート番号を持つ通信信号ではないと判断し、通過遮断処理部２１１に通過指示通知を通知する。
【００８３】
処理Ｓ１５において、アクセス制御子機１２の演算処理部２０１は、通過の承認を受けるべきＳＭＢのコマンドを持つ通信信号であるか否かを判断する。判断の結果、通過の承認を受けるべきＳＭＢのコマンドを持つ通信信号であると判断した場合（Ｙｅｓ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ１６を実行し、一方、この判断の結果、通過の承認を受けるべきＳＭＢのコマンドを持つ通信信号ではないと判断した場合（Ｎｏ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ２３を実行する。
【００８４】
より具体的には、本実施形態では、受信した通信信号に係る位置情報の通知を受けると、アクセス制御子機１２の演算処理部２０１におけるコマンド比較部２１５は、この通知を受けた位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して通信信号におけるＳＭＢのコマンドを取り出し、この取り出したＳＭＢのコマンドとコマンド情報記憶部２２４に記憶されているコマンド情報とを比較し、コマンド情報にこの取り出したＳＭＢのコマンドと一致するコマンド情報があるか否かを判断する。この判断の結果、一致するコマンド情報がある場合には、コマンド比較部２１５は、この受信した通信信号が通過の承認を受けるべきＳＭＢのコマンドを持つ通信信号であると判断し、パラメータ比較部２１６にこの通信信号に係る位置情報を通知する。一方、この判断の結果、一致するコマンド情報がない場合には、コマンド比較部２１５は、この受信した通信信号が通過の承認を受けるべきＳＭＢのコマンドを持つ通信信号ではないと判断し、通過遮断処理部２１１に通過指示通知を通知する。
【００８５】
処理Ｓ１６において、アクセス制御子機１２の演算処理部２０１は、通過の承認を受けるべきＳＭＢのコマンドにおけるパラメータを持つ通信信号であるか否かを判断する。判断の結果、通過の承認を受けるべきＳＭＢのコマンドにおけるパラメータを持つ通信信号であると判断した場合（Ｙｅｓ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ１７を実行し、一方、この判断の結果、通過の承認を受けるべきＳＭＢのコマンドにおけるパラメータを持つ通信信号ではないと判断した場合（Ｎｏ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ２３を実行する。
【００８６】
より具体的には、本実施形態では、受信した通信信号に係る位置情報の通知を受けると、アクセス制御子機１２の演算処理部２０１におけるパラメータ比較部２１６は、この通知を受けた位置情報に基づいて記憶部２０２に記憶されている通信信号を特定して通信信号におけるＳＭＢのコマンドにおけるパラメータを取り出し、この取り出したパラメータとパラメータ情報記憶部２２５に記憶されているパラメータ情報とを比較し、パラメータ情報にこの取り出したＳＭＢのコマンドにおけるパラメータと一致するパラメータ情報があるか否かを判断する。この判断の結果、一致するパラメータ情報がある場合には、パラメータ比較部２１６は、この受信した通信信号が通過の承認を受けるべきＳＭＢのコマンドにおけるパラメータを持つ通信信号であると判断し、タイマ部２１７にこの通信信号に係る位置情報を通知する。一方、この判断の結果、一致するパラメータ情報がない場合には、パラメータ比較部２１６は、この受信した通信信号が通過の承認を受けるべきＳＭＢのコマンドにおけるパラメータを持つ通信信号ではないと判断し、通過遮断処理部２１１に通過指示通知を通知する。
【００８７】
処理Ｓ１７において、アクセス制御子機１２の演算処理部２０１は、通過の承認を受けてから所定の時間内であるか否かを判断する。判断の結果、所定の時間を越えている場合（Ｎｏ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ１８を実行し、一方、この判断の結果、所定の時間内である場合（Ｙｅｓ）には、アクセス制御子機１２の演算処理部２０１は、処理Ｓ２３を実行する。
【００８８】
より具体的には、本実施形態では、受信した通信信号に係る位置情報の通知を受けると、タイマ部２１７は、この通知された位置情報に基づいて通信信号を特定して、この通信信号に対応するタイマが計時中であるか否かを判断する。この判断の結果、計時中ではない場合には、タイマ部２１７は、所定の時間を越えていると判断し、この位置情報で特定される通信信号に対する承認要求通知を通過遮断処理部２１１に通知する。一方、この判断の結果、計時中である場合には、タイマ部２１７は、所定の時間内であると判断し、通過遮断処理部２１１に通過指示通知を通知する。これによって承認者による承認を得てから所定の時間内では、承認者による承認を得ることなく、コンピュータ１６は、ファイルサーバ１３へアクセスすることができ、承認者の承認の手間を省き、また、利用者が承認を得るまで時間待ちを逐一する必要がなく、利用者のストレスが緩和される。この所定の時間は、利用者の業務内容やネットワーク資源の内容等によって適宜設定され、例えば、５分、１０分、３０分、６０分等に設定される。
【００８９】
処理Ｓ１８（図９のＣ１２）において、アクセス制御子機１２の演算処理部２０１は、この通信信号に対する通過問合せ信号をアクセス制御親機１１に第１通信インタフェース部２０３を用いて送信する。より具体的には、承認要求通知の通知を受けると、アクセス制御子機１２の演算処理部２０１における通過遮断処理部２１１は、通過問合せ信号作成し、通過問合せ信号を第１通信インタフェース部２０３を用いてアクセス制御親機１１に送信する。この通過問合せ信号は、通過遮断処理部２１１によって承認要求通知に係る通信信号から取り出された送信元のＩＰアドレス及びＳＭＢのコマンドにおけるパラメータ、通過を問い合わせる旨、並びに、当該通過問合せ信号を特定し識別するための識別子（通過問合せ信号識別子）を収容する。この通過問合せ信号識別子は、例えば、所定桁数の乱数が利用される。
【００９０】
このように、アクセス制御子機１２は、コンピュータ１６からファイルサーバ１３へアクセスする通信信号の中から、通信信号に収容されている送信元のＭＡＣアドレス及び送信元のＩＰアドレスに基づいてＭＡＣ情報記憶部２２１のＭＡＣ情報及びＩＰアドレス情報記憶部２２２のＩＰアドレス情報をそれぞれ参照することで、予め設定されているコンピュータ１６からの通信信号を抽出し、さらに、通信信号に収容されている送信先のポート番号、ＳＭＢのコマンド及びＳＭＢのコマンドにおけるパラメータに基づいてポート番号情報記憶部２２３のポート番号情報、コマンド情報記憶部２２４のコマンド情報及びパラメータ情報記憶部２２５のパラメータ情報をそれぞれ参照することで、予め設定されているネットワーク資源へアクセスする通信信号を抽出することができる。このため、アクセス制御子機１２は、承認者の承認が必要なコンピュータ１６からファイルサーバ１３へのアクセスを自動的に検出することができ、このようなアクセスを検出した場合に、アクセス制御子機１２は、受信した通信信号における通過の許否をアクセス制御親機１１へ問い合わせることができる。
【００９１】
一方、アクセス制御親機１１は、通信インタフェース部１０３で通信信号を受信すると、演算処理部１０１の承認要求処理部１１２を用いて、通信信号が通過問合せ信号であるか否かを判断する。判断の結果、通信信号が通過問合せ信号ではない場合には、承認要求処理部１１２は、当該通信信号に応じたプロセストリガ部（不図示）に当該通信信号を受信した旨及び当該通信信号を通知して当該通信信号に応じた処理を行わせ、一方、判断の結果、通信信号が通過問合せ信号である場合には、承認要求処理部１１２は、通過問合せ信号を受信した旨及び通過問合せ信号を承認プロセストリガ部１１３に通知する。
【００９２】
この通知を受けると、承認プロセストリガ部１１３は、通過問合せ信号に収容されている通過問合せに係る通信信号から送信元のＩＰアドレス、ＳＭＢのコマンドにおけるパラメータ及び通過問合せ信号識別子等の必要な各情報を取り出す。そして、承認プロセストリガ部１１３は、承認プロセス処理部１１４を起動し、この取り出した各情報を承認プロセス処理部１１４に通知する。
【００９３】
起動され、各情報の通知を受けると、承認プロセス処理部１１４は、通過問合せに係る通信信号に対しアクセス制御子機１２を通過させファイルサーバ１３へアクセスする承認を得るべく、次のように動作する。
【００９４】
即ち、図９及び図１２において、アクセス制御親機１１の演算処理部１０１における承認プロセス処理部１１４は、まず、アクティブ承認者の中から通過問合せに係る通信信号に対する通過を承認する権限を有する承認者の特定を行う（Ｓ３１）。
【００９５】
より具体的には、承認プロセス処理部１１４は、通知を受けたＩＰアドレス及びＳＭＢのコマンドにおけるパラメータを、アクティブ承認者情報記憶部１２３に記憶されているアクティブ承認者情報テーブル１４０におけるアクセス装置情報フィールド１４１及びネットワーク資源情報１４２にそれぞれに登録するレコードを検索し、検索したレコードにおける承認装置情報サブフィールド１４３から承認装置情報を取り出す。この取り出された承認装置情報は、通過問合せに係る通信信号に対する通過を承認する権限を有する承認者が利用するコンピュータ１４の承認装置識別子である。
【００９６】
このようにアクティブ承認者情報記憶部１２３のアクティブ承認者情報を用いることによって、所定のコンピュータ１６からファイルサーバ１３の所定のネットワーク資源へアクセスがあった時点において、実際にアクセスの許否を判断し得る承認者を抽出し、特定することができる。
【００９７】
次に、承認プロセス処理部１１４は、特定したアクティブな承認者が存在するか否かを判断する（Ｓ３２）。
【００９８】
この処理Ｓ３２における判断の結果、アクティブな承認者が存在しない場合（Ｎｏ）には、承認プロセス処理部１１４は、通過を承認しない旨、即ち、遮断する旨及び承認プロセストリガ部１１３から通知を受けた通過問合せ信号識別子を承認要求応答処理部１１５に通知する（Ｓ３６）。このように動作することによって、所定のコンピュータ１６からファイルサーバ１３の所定のネットワーク資源へアクセスがあった時点において実際にアクセスの許否を判断し得る承認者が一人もいない場合に、コンピュータ１６からファイルサーバ１３の所定のネットワーク資源へのアクセスが禁止され、ネットワーク資源が保護され得る。
【００９９】
一方、処理Ｓ３２における判断の結果、アクティブな承認者が存在する場合（Ｙｅｓ）には、承認プロセス処理部１１４は、この特定した総ての承認者から承認を取得したか否かを判断する（Ｓ３３）。
【０１００】
この処理Ｓ３３における判断の結果、総ての承認者から承認を取得した場合（Ｙｅｓ）には、承認プロセス処理部１１４は、通過を承認する旨及び承認プロセストリガ部１１３から通知を受けた通過問合せ信号識別子を承認要求応答処理部１１５に通知し（Ｓ３７）、処理を終了する。このように動作することによって、所定のコンピュータ１６からファイルサーバ１３の所定のネットワーク資源へアクセスがあった時点において実際にアクセスの許否を判断し得る承認者の全員の承認を得てから、所定のコンピュータ１６からファイルサーバ１３の所定のネットワーク資源へのアクセスが認められる。このため、ネットワーク資源が適切に保護され得、通常、ネットワーク資源へのアクセス権が認められていないコンピュータ１６（利用者）であっても、そのネットワーク資源の利用が認められ、アクセス権が動的に変更され得る。
【０１０１】
一方、処理Ｓ３３における判断の結果、総ての承認者から承認を取得していない場合（Ｎｏ）には、承認プロセス処理部１１４は、アクティブな承認者から承認を取得すべく、承認要求処理を行う（Ｓ３４）。
【０１０２】
より具体的には、承認プロセス処理部１１４は、承認装置識別子を用いて承認を求める承認者が利用するコンピュータ１４を宛て先（送信先）として、通過問合せに係る通信信号における送信元のＩＰアドレス、ＳＭＢのコマンドにおけるパラメータ及び承認を求める旨を収容した通信信号（承認要求信号）を作成し、通信インタフェース部１０３を用いて承認を求める承認者が利用するコンピュータ１４に送信する（Ｃ１３）。
【０１０３】
この承認要求信号を受信すると、コンピュータ１４は、承認を求める利用者名、アクセスを求めているネットワーク資源、承認を求める利用者に対応する確認装置１５からの情報を表示する。より具体的には、演算処理部４０１のＰｕｓｈ受信サービス部４１１は、承認要求信号を受信すると、演算処理部４０１のウェブブラウザ部４１２を起動し、例えば、図１３に示す承認要求ページを表示する。図１３は、承認要求ページの構成を示す図である。
【０１０４】
図１３において、承認要求ページ５０１は、例えば「承認要求がありました。承認又は不承認を行ってください。」等の如き承認者に承認又は不承認を促す旨のメッセージを表示するメッセージ表示領域５１１と、承認を求めている利用者を承認者に認識させるための、承認を求めている利用者名を表示する利用者名表示領域５１２と、承認を求めているネットワーク資源を承認者に認識させるための、承認を求めているネットワーク資源を表示するネットワーク資源表示領域５１３と、承認を求めている利用者が利用者本人であるか否かを承認者に認証させるための、確認装置１５からの情報を表示する確認装置情報表示領域５１４と、利用者によるネットワーク資源の利用を承認する場合における承認用のチェックボックス５１５と、利用者によるネットワーク資源の利用を承認しない場合における不承認用のチェックボックス５１６と、チェックボックス５１５、５１６のチェックに応じて承認信号及び不承認信号の何れか一方をアクセス制御親機１１に送信するための送信ボタン５１７とを備えて構成される。
【０１０５】
ウェブブラウザ部４１２は、承認要求ページ５０１を表示する際に、受信した承認要求信号に収容されているＩＰアドレス（アクセス装置識別子）に基づいて利用者確認情報記憶部４２１に記憶されている利用者確認情報テーブル１６０を参照することによって、このＩＰアドレスから利用者名を求め、利用者名を利用者名表示領域５１２に表示する。ウェブブラウザ部４１２は、承認要求ページ５０１を表示する際に、受信した承認要求信号に収容されているＳＭＢのコマンドにおけるパラメータに基づいてネットワーク資源をネットワーク資源表示領域５１３に表示する。そして、ウェブブラウザ部４１２は、承認要求ページ５０１を表示する際に、受信した承認要求信号に収容されているＩＰアドレス（アクセス装置識別子）に基づいて利用者確認情報記憶部４２１に記憶されている利用者確認情報テーブル１６０を参照することによって、このＩＰアドレスから確認装置情報を取り出し、この取り出した確認装置情報に基づいて確認装置１５にアクセスし、確認装置１５から情報を取得し、この取得した情報を確認装置情報表示領域５１４に表示する。本実施形態では、確認装置１５は、ネットワークカメラであるので、確認装置情報は、ネットワークカメラのＩＰアドレスであり、ウェブブラウザ部４１２は、このＩＰアドレスを用いてネットワークカメラにアクセスし、ネットワークカメラから撮像した画像を取得し、この取得した画像を確認装置情報表示領域５１４に表示する（Ｃ１４）。
【０１０６】
承認者は、承認要求ページ５０１における利用者名表示領域５１２に表示されている利用者名と確認装置情報表示領域５１４に表示されている情報とを比較し、確認装置情報表示領域５１４に表示されている情報から利用者名の利用者を確認する。このように承認要求ページ５０１に承認を求めている利用者名と、この利用者名の利用者に対応する確認装置１５で取得した情報とを表示するので、承認者は、承認を求めている利用者が利用者本人であるか否か確認することができ、利用者本人であることを認証した上で、承認又は不承認の判断を行うことができる。
【０１０７】
なお、本実施形態では、所定のクライアントコンピュータとしてのコンピュータ１６から所定のネットワーク資源へアクセスがあったことを、承認要求ページ５０１の利用者名表示領域５１２及びネットワーク資源表示領域５１３で出力部４０５に表示したが、コンピュータ１４に例えばスピーカ等の音を出力する発音部等をさらに備えさせ、音声等によって別途報知してもよい。
【０１０８】
さらに、承認者は、ネットワーク資源表示領域５１３に表示されているネットワーク資源を参照して、当該利用者による当該ネットワーク資源の利用を承認する場合には、入力部４０４を用いて承認用のチェックボックス５１５をチェックし、一方、当該利用者による当該ネットワーク資源の利用を承認しない場合には、入力部４０４を用いて不承認用のチェックボックス５１６をチェックする。そして、承認者は、送信ボタン５１７を入力部４０４を用いて操作する。
【０１０９】
送信ボタン５１７が入力部４０４によって操作されると、ウェブブラウザ部４１２は、承認用のチェックボックスにチェックが為されている場合には、承認信号を作成してアクセス制御親機１１に送信し、一方、不承認用のチェックボックスにチェックが為されている場合には、不承認信号を作成してアクセス制御親機１１に送信する（Ｃ１５）。
【０１１０】
このように動作することによって、処理Ｓ３３における承認要求処理が実行され、アクセス制御親機１１は、コンピュータ１４を介して承認者から承認又は不承認を得ることができる。
【０１１１】
コンピュータ１４から返信の通信信号を受信すると、承認プロセス処理部１１４は、承認を取得したか否かを判断する（Ｓ３４）。この受信した通信信号が承認信号である場合には、承認プロセス処理部１１４は、承認を取得したと判断し、一方、この受信した通信信号が不承認信号である場合には、承認プロセス処理部１１４は、承認を取得しないと判断する。
【０１１２】
この処理Ｓ３４における判断の結果、承認を取得したと判断する場合（Ｙｅｓ）には、承認プロセス処理部１１４は、処理を処理Ｓ３２に戻し、一方、承認を取得しないと判断する場合（Ｎｏ）には、承認プロセス処理部１１４は、遮断する旨及び承認プロセストリガ部１１３から通知を受けた通過問合せ信号識別子を承認要求応答処理部１１５に通知し（Ｓ３５）、処理を終了する。
【０１１３】
遮断する旨を受けると、承認要求応答処理部１１５は、遮断する旨及び通過問合せ信号識別子を収容する通信信号（不許可通知信号）を作成し、この作成した不許可通知信号を通信インタフェース部１０３を用いてアクセス制御子機１２に送信する（Ｃ１６）。一方、承認する旨を受けると、承認要求応答処理部１１５は、通過を承認する旨及び通過問合せ信号識別子を収容する通信信号（許可通知信号）を作成し、この作成した許可通知信号を通信インタフェース部１０３を用いてアクセス制御子機１２に送信する（Ｃ１６）。
【０１１４】
このように動作することによって、コンピュータ１４を介して取得した承認者の承認又は不承認は、アクセス制御親機１１からアクセス制御子機１２へ送信される。
【０１１５】
そして、図９及び図１１において、通過問合せ信号に対する返信を受信すると（Ｓ１９）、アクセス制御子機１２の演算処理部２０１における通過遮断処理部２１１は、通過問合せ信号の返信が不許可通知信号であるか許可通知信号であるかを判断する（Ｓ２０）。
【０１１６】
この処理Ｓ２０における判断の結果、不許可通知信号である場合（不許可通知信号）には、通過遮断処理部２１１は、通過問合せ信号に係る通信信号を破棄する通信信号の遮断処理を行い（Ｓ２１、Ｃ１７）、処理を終了する。これによってコンピュータ１６からファイルサーバ１３へのアクセスが拒否され、ファイルサーバ１３のネットワーク資源が守られる。ここで、さらに、通過遮断処理部２１１は、この通過問合せ信号に係る通信信号の送信元のコンピュータ１６にファイルサーバ１３へのアクセスが拒否された旨を通知する通信信号を送信するように構成してもよい。これによってファイルサーバ１３のファイルが守られるだけでなく、ファイルサーバ１３へアクセスしようとしたコンピュータ１６の利用者は、アクセスが拒否されたことを認識することができる。そして、単にこのアクセスが拒否された旨を通知するだけでなく、承認者の不在や承認者の不承認等のアクセスが拒否された原因も併せて通知するように構成してもよい。アクセス拒否の原因を利用者に通知することによって、利用者は、時間をおいた後に再アクセスしたり、承認者を説得したり等の原因に応じた対策を講じることができる。
【０１１７】
一方、この処理Ｓ２０における判断の結果、許可通知信号である場合（許可通知信号）には、通過遮断処理部２１１は、通過問合せ信号に係る通信信号に対応させてタイマ部２１７のタイマをセットし（Ｓ２２）、通過問合せ信号に係る通信信号を第２通信インタフェース部２０４を用いてファイルサーバ１３に転送する通信信号の通過処理を行い（Ｓ２３、Ｃ１７）、処理を終了する。これによって承認者による承認を得た上でコンピュータ１６からファイルサーバ１３のネットワーク資源へアクセス可能となる。このため、通常、ネットワーク資源へのアクセス権が認められていないコンピュータ１６（利用者）であっても、そのネットワーク資源の利用が認められ、アクセス権が動的に変更され得る。
【０１１８】
なお、上述の実施形態では、アクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報をアクセス制御親機１１の入力部１０４から入力し、アクセス制御親機１１からアクセス制御子機１２に送信し、これら各情報をアクセス制御子機１２に記憶するように構成したが、アクセス制御子機１２に例えばキーボード等の入力部をさらに備えさせ、このアクセス制御子機１２の入力部からＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報を入力し、これら各情報をアクセス制御子機１２に記憶するように構成してもよい。あるいは、ネットワーク１に通信可能に接続しているコンピュータ、例えばコンピュータ１４からＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報を入力し、このコンピュータ１４からアクセス制御子機１２に送信し、これら各情報をアクセス制御子機１２に記憶するように構成してもよい。あるいは、これらＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報をアクセス制御子機１２に記憶させる専用の設定ツールをアクセス制御子機１２に直接又はネットワーク１を介して接続し、これら各情報をアクセス制御子機１２に記憶するように構成してもよい。
【０１１９】
そして、上述の実施形態では、アクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報をアクセス制御親機１１の入力部１０４から一から入力するように構成したが、これら各情報をアクセス制御親機１１及びアクセス制御子機１２を用いて作成するように構成してもよい。
【０１２０】
より詳細に説明すると、アクセス制御子機１２は、ネットワーク１の運用開始後、所定の期間（例えば１週間や１月程度の期間）、コンピュータ１６からファイルサーバ１３への通信信号を総て通過させ、この通過させた通信信号の複製をアクセス制御親機１１に送信するように構成される。例えば、第１通信インタフェース部２０３から通信信号を受信するとこの受信した通信信号の複製を作成してアクセス制御親機１１に第１通信インタフェース部２０３を用いて送信すると共にこの受信した通信信号をファイルサーバ１３に第２通信インタフェース部２０４を用いて転送する通信信号収集処理部２１８（図２に破線で示す）を演算処理部２０１に機能的にさらに備えさせる。
【０１２１】
アクセス制御親機１１は、アクセス制御子機１２から受信した通信信号に基づいてコンピュータ１６からファイルサーバ１３への通信信号における送信元のＭＡＣアドレス、送信元のＩＰアドレス、送信先のポート番号、ＳＭＢのコマンド及びＳＭＢのコマンドにおけるパラメータを記憶部１０２に記憶する。例えば、図３に破線で示すように、このような機能を持つ支援処理部１１９を演算処理部１０１に機能的にさらに備えさせ、これら各情報を記憶する支援情報記憶部１２５を記憶部１０２に機能的にさらに備えさせる。ユーザがアクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報をアクセス制御親機１１の入力部１０４から入力する場合に、支援処理部１１９は、記憶部１０２の支援情報記憶部１２５に記憶されているＭＡＣアドレスをＭＡＣ情報として、送信元のＩＰアドレスをＩＰアドレス情報として、送信先のポート番号をポート番号情報として、ＳＭＢのコマンドをコマンド情報として、ＳＭＢのコマンドにおけるパラメータをパラメータ情報としてそれぞれ出力部１０５に提示する。支援処理部１１９は、ユーザから入力部１０４により、この提示したＭＡＣ情報からＭＡＣアドレスの取捨選択及び必要に応じて追加を受付け、この提示したＩＰアドレス情報からＩＰアドレスの取捨選択及び必要に応じて追加を受付け、この提示したポート番号情報からポート番号の取捨選択及び必要に応じて追加を受付け、この提示したコマンド情報からＳＭＢのコマンドの取捨選択及び必要に応じて追加を受付け、この提示したパラメータ情報からＳＭＢのコマンドにおけるオアらメータの取捨選択及び必要に応じて追加を受付け、取捨選択及び追加の受付け結果に応じて、アクセス制御子機１２に設定するためのＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報を生成する。そして、支援処理部１１９は、この生成した各情報に基づいて設定情報信号を作成し、この設定情報信号を通信インタフェース部１０３を用いてアクセス制御子機１２に送信する。
【０１２２】
アクセス制御子機１２は、このアクセス制御親機１１から設定情報信号を受信すると、記憶部２０２に記憶し、上述したように、コンピュータ１６からファイルサーバ１３への通信信号に対し通過及び遮断の制御を開始する。
【０１２３】
このようにアクセス制御子機１２に通信信号収集処理部２１８をさらに設けると共にアクセス制御親機１１に支援処理部１１９及び支援情報記憶部１２５をさらに設けることによって、ユーザは、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報をアクセス制御親機１１の入力部１０４から一から入力する必要がなくなり、入力の手間を省くことができ、また、入力ミスを軽減することができる。
【０１２４】
また、上述の実施形態では、環境情報及び承認者マスタ情報をアクセス制御親機１１の入力部１０４から入力し、アクセス制御親機１１に記憶するように構成したが、ネットワーク１に通信可能に接続しているコンピュータ、例えばコンピュータ１４から環境情報及び承認者マスタ情報の各情報を入力し、このコンピュータ１４からアクセス制御親機１１に送信し、これら各情報をアクセス制御親機１１に記憶するように構成してもよい。このように構成することによって、アクセス制御子機１２のＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報をコンピュータ１４から入力及び設定する上記構成と併せて、入力部１０４及び出力部１０５を省くことができ、アクセス制御親機１１のコストを下げることができる。あるいは、環境情報及び承認者マスタ情報をアクセス制御親機１１に記憶させる専用の設定ツールをアクセス制御親機１１に直接又はネットワーク１を介して接続し、これら各情報をアクセス制御親機１１に記憶するように構成してもよい。
【０１２５】
さらに、上述の実施形態では、アクティブ承認者処理部１１８は、初期設定処理部１１１からのトリガに応じて承認者マスタ情報からアクティブ承認者情報を生成するように構成したが、カレンダ部１１６を予め設定されている時刻になるとその旨をアクティブ承認者処理部１１８に通知するように構成し、アクティブ承認者処理部１１８をカレンダ部１１６から設定時刻となった旨の通知を受けると承認者マスタ情報からアクティブ承認者情報を生成するように構成してもよい。設定時刻は、出勤時間に応じた時刻や所定の時間間隔（例えば１時間や２時間）を空けた時刻である。このように構成することによって演算処理部１０１の承認者マスタ情報からアクティブ承認者情報を生成する負荷を一定にすることができる。また、このため、演算処理部１０１の情報処理能力を見積もることができ、適切な情報処理能力を持った演算処理部１０１を選択することができるから、アクセス制御親機１１の動作を安定させることができる。
【０１２６】
そして、上述の実施形態では、確認装置１５を備えてこの確認装置１５からの情報をコンピュータ１４に提示するように構成され、コンピュータ１４を使用する承認者は、この確認装置１５からの情報に基づいて承認を求めている利用者が利用者本人であるか否かを確認したが、承認者と利用者とが同一フロアに在席している等、承認者が目視で利用者が利用者本人であるか否かを確認することができる場合には、確認装置１５を省いてもよい。この場合、利用者確認情報テーブル１６０は、確認装置情報フィールド１６３を備えず、アクセス装置情報フィールド１６１及び利用者名フィールド１６２を備えて構成され、そして、承認要求ページ５０１は、確認装置情報表示領域５１４を備えず、メッセージ表示領域５１１と、利用者名表示領域５１２と、ネットワーク資源表示領域５１３と、承認用のチェックボックス５１５と、不承認用のチェックボックス５１６と、送信ボタン５１７とを備えて構成される。このようにコンピュータ１４は、アクセス制御親機１１の承認要求信号に応じて、コンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスがあった旨を表示可能なように構成され、このアクセスの承認及び不承認の何れか一方が入力可能なように構成される。そして、コンピュータ１４は、上述の実施形態と同様に、アクセスの承認及び不承認の何れか一方が入力された場合にこの入力されたアクセスの承認及び不承認の何れか一方をアクセス制御親機１１に返信するように構成される。
【０１２７】
確認装置１５を省くことによって、コストを下げることができ、また、コンピュータ１４をより簡易に構成することができる。
【０１２８】
また、上述の実施形態では、確認装置１５がネットワークカメラである場合について説明したが、ネットワークカメラの代わりに、確認装置１５は、電話機でもよい。この場合、利用者確認情報テーブル１６０は、確認装置情報フィールド１６３に、確認装置識別子として、コンピュータ１６を使用する利用者に係る電話機の電話番号が用いられる。そして、ウェブブラウザ部４１２は、承認要求ページ５０１を表示する際に、確認装置１５としてのネットワークカメラから画像を取得して画像を確認装置情報表示領域５１４に表示する代わりに、承認要求信号に収容されているＩＰアドレス（アクセス装置識別子）に基づいて利用者確認情報記憶部４２１に記憶されている利用者確認情報テーブル１６０を参照することによって、このＩＰアドレスから利用者に係る電話機の電話番号を求め、この電話番号を確認装置情報表示領域５１４に表示する。このようにコンピュータ１４は、アクセス制御親機１１の承認要求信号に応じて、コンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスがあった旨及びコンピュータ１１６を使用する利用者に係る電話機の電話番号を表示可能なように構成され、このアクセスの承認及び不承認の何れか一方が入力可能なように構成される。そして、コンピュータ１４は、上述の実施形態と同様に、アクセスの承認及び不承認の何れか一方が入力された場合にこの入力されたアクセスの承認及び不承認の何れか一方をアクセス制御親機１１に返信するように構成される。
【０１２９】
承認者は、この電話番号の電話機に発呼を行って、承認を求めている利用者が利用者本人であるか否かを電話機を介して確認する。
【０１３０】
オフィス等では、通常、利用者に相当する社員に電話機を割り当てているので、このように構成することによって既存の電話機を利用することができ、確認装置１５を新設する必要がないので、コストを下げることができる。
【０１３１】
そして、電話機の電話番号を表示することに加えて、あるいは、電話機の電話番号を表示することに代えて、承認者の利用する電話機から承認を求めている利用者に係る電話機へコンピュータ１４が自動的に発呼するように構成してもよい。この場合、利用者確認情報テーブル１６０は、確認装置情報フィールド１６３に、確認装置識別子として、コンピュータ１６を使用する利用者に係る電話機の電話番号が用いられる。そして、ウェブブラウザ部４１２は、承認要求ページ５０１を表示する際に、確認装置１５としてのネットワークカメラから画像を取得して画像を確認装置情報表示領域５１４に表示する代わりに、承認要求信号に収容されているＩＰアドレス（アクセス装置識別子）に基づいて利用者確認情報記憶部４２１に記憶されている利用者確認情報テーブル１６０を参照することによって、このＩＰアドレスから利用者に係る電話機の電話番号を求め、この電話番号を確認装置情報表示領域５１４に表示すると共に、承認者の利用する電話機からこの電話番号で発呼する。あるいは、この電話番号を確認装置情報表示領域５１４に表示する代わりに、承認者の利用する電話機からこの電話番号で発呼する。
【０１３２】
このようにコンピュータ１４は、アクセス制御親機１１の承認要求信号に応じて、コンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスがあった旨を表示可能なように構成され、このアクセスの承認及び不承認の何れか一方が入力可能なように構成され、コンピュータ１１６を使用する利用者に係る電話機の電話番号へ自動的に発呼を行うように構成される。そして、コンピュータ１４は、上述の実施形態と同様に、アクセスの承認及び不承認の何れか一方が入力された場合にこの入力されたアクセスの承認及び不承認の何れか一方をアクセス制御親機１１に返信するように構成される。
【０１３３】
このように構成することによって、承認者が誤った電話番号に発呼することを防止することができ、承認者の発呼の手間を省くことができる。
【０１３４】
さらに、上述の実施形態では、アクセス制御親機１１は、アクセス制御子機１２から通過問合せ信号を受信するたびに、コンピュータ１４へ承認要求信号を送信しコンピュータ１４から承認信号及び不承認信号の何れか一方の返信を受信するように構成したが、承認者がコンピュータ１４を用いて、コンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスを承認するか否かの許否情報をアクセス制御親機１１の記憶部１０２における許否情報記憶部１２６（図３に破線で示す）に予め記憶させ、アクセス制御親機１１は、アクセス制御子機１２から通過問合せ信号を受信すると、この記憶部１０２の許否情報に基づいてコンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスを承認するか否かを判断し、判断の結果に応じて許可通知信号及び不許可通知信号の何れか一方をアクセス制御子機１２へ返信するように構成してもよい。許否情報は、例えば、コンピュータ１６を特定し識別するための識別子（例えばコンピュータ１６のＭＡＣアドレス及び／又はＩＰアドレス）と、ネットワーク資源を特定し識別するための識別子（例えばＳＭＢのコマンドにおけるパラメータ）と、アクセスの承認又は不承認を示す情報とを備え、相互に対応付けられて構成される。そして、許否情報を許否情報記憶部１２６に記憶するために、例えば、図３に破線で示すように、演算処理部１０１に機能的に許否情報設定処理部１２０がさらに備えられる。例えば、許否情報がコンピュータ１４の入力部４０４から入力され、演算処理部４０１によってアクセス制御親機１１に送信されると、許否情報設定処理部１２０は、通信インタフェース部１０３で受信した許否情報を許否情報記憶部１２６に記憶する。また例えば、許否情報設定処理部１２０は、入力部１０４から許否情報が入力されると、この入力された許否情報を許否情報記憶部１２６に記憶する。また例えば、許否情報をアクセス制御親機１１に記憶させる専用の設定ツールをアクセス制御親機１１にネットワーク１を介して接続し、許否情報が設定ツールに入力されアクセス制御親機１１に送信されると、許否情報設定処理部１２０は、通信インタフェース部１０３で受信した許否情報を許否情報記憶部１２６に記憶する。
【０１３５】
このように構成することによって、承認者は、アクセス制御親機１１から承認要求信号をコンピュータ１４が受信するたびに、上述の実施形態で説明したようなコンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスを承認するか否かの手続きを行う必要がなく、承認者の手間を省くことができる。その一方で、承認者は、例えばコンピュータ１４を用いて、コンピュータ１６からファイルサーバ１３のネットワーク資源へアクセスを承認するか否かを容易に変更することができる。
【０１３６】
そして、上述の実施形態では、アクセス制御親機１１とアクセス制御子機１２とを別体で構成したが一体に構成してもよい。
【０１３７】
また、上述の実施形態では、ＭＡＣ情報、ＩＰアドレス情報、ポート番号情報、コマンド情報及びパラメータ情報の各情報は、アクセス制御子機１２の記憶部２０２に記憶されるように構成したが、これら各情報を管理するサーバコンピュータをネットワーク１に設け、アクセス制御子機１２は、このサーバコンピュータからこれら各情報の提供を受けるように構成してもよい。さらに、このようなサーバコンピュータをアクセス制御親機１１に設けてもよい。
【０１３８】
さらに、上述の実施形態では、承認者マスタ情報は、アクセス制御親機１１の記憶部１０２に記憶されるように構成したが、この情報を管理するサーバコンピュータをネットワーク１に設け、アクセス制御親機１１は、このサーバコンピュータからこの情報の提供を受けるように構成してもよい。
【０１３９】
そして、上述の実施形態では、利用者確認情報は、コンピュータ１４の利用者確認情報記憶部４２１に記憶するように構成したが、アクセス制御親機１１の記憶部１０２に記憶し、アクセス制御親機１１がコンピュータ１４に承認要求信号を送信する際に利用者確認情報を併せて送信するように構成してもよい。あるいは、利用者確認情報を管理するサーバコンピュータをネットワーク１に設け、コンピュータ１４は、このサーバコンピュータから利用者確認情報の提供を受けるように構成してもよい。さらに、このようなサーバコンピュータをアクセス制御親機１１に設けてもよい。
【０１４０】
また、上述の実施形態では、アクセス制御親機１１は、アクセス制御子機１２から通過問合せ信号を受信すると、自動的に、図１２に示す処理Ｓ３１乃至処理Ｓ３５を実行し、その処理結果に応じて処理Ｓ３６又は処理Ｓ３７を実行するように構成したが、クライアントコンピュータとしてのコンピュータ１６にいわゆるアクセスレベルを設定し、アクセス権を持っている場合には処理Ｓ３１乃至処理Ｓ３５を実行することなく処理Ｓ３７を実行し、アクセス権を持っていない場合には処理Ｓ３１乃至処理Ｓ３５を実行しその処理結果に応じて処理Ｓ３６又は処理Ｓ３７を実行するというように、アクセスレベルに応じて処理Ｓ３１乃至処理Ｓ３７を実行するように構成してもよい。このように構成することによって、例えば、会社役員は、処理Ｓ３１乃至処理Ｓ３５の承認フローを経ることなく、所定のネットワーク資源にアクセスできる。また、派遣社員のみ、上記承認フローを経て、承認者のアクセスの可否判断を行うことも可能であり、実情に即した運用が可能となる。
【０１４１】
ここで、エミット（ＥＭＩＴ：Embedded Micro Internetworking Technology)のような機器組み込み型ネットワーク技術（機器に簡単にミドルウェアを組み込んでネットワーク
に接続できる機能を備えるネットワーク技術。以降、ＥＭＩＴシステムと称する。）は、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）等の外部端末からＩＰ（Internet Protocol）ベースで、様々な設備機器（照明装置、空調装置、動力装置、センサ、電気錠、ウェブカメラ等、以降、ＥＭＩＴ端末と称する。）にアクセスして、ＥＭＩＴ端末を遠隔監視・制御することができる。例えば、建物（戸建住宅、マンション、ビル、工場用等）内に上述のＥＭＩＴ端末を分散配置させて、外部端末からＥＭＩＴ端末の状態を遠隔から監視することにより、建物全体のエネルギー管理を行ったり、建物内のガス、水道、電気の遠隔検針を行うことができる。なお、ＥＭＩＴ端末は、マイコン搭載の組み込み機器であり、ＥＭＩＴソフトウェアが搭載されている。ＥＭＩＴソフトウェアは、機器組み込み型のネット接続用ミドルウェアであり、プログラムサイズが非常に小さく高速なプロセッサを必要としないことから、ネット接続機能の低コスト化が可能となる。またＥＭＩＴシステムは，端末の自動発見など各種自動設定機能を有し，また組込み環境に適した暗号化，認証，アクセス制御などのセキュリティ機能をも兼ね備えている。本実施形態に係る親機，子機は共に、上記ＥＭＩＴ端末であり，その設置時の通信環境設定はＥＭＩＴ技術に基づく自動設定機能により，専門技術者の作業を省くことが可能であってもよい。また、当該親機，当該子機間の通信は、本システムの提供機能からして秘匿されるべきものであるが、ＥＭＩＴミドルウェアに備わった組込みセキュリティ機能により、システム内の協調動作の為の通信は全て安全に秘匿するシステムであっても、もちろん良い。
【図面の簡単な説明】
【０１４２】
【図１】実施形態に係るネットワークの構成を示す図である。
【図２】実施形態に係るアクセス制御子機の構成を示すブロック図である。
【図３】実施形態に係るアクセス制御親機の構成を示すブロック図である。
【図４】実施形態に係る承認者マスタ情報テーブルの構成を示す図である。
【図５】実施形態に係るアクティブ承認者情報テーブルの構成を示す図である。
【図６】ログ情報テーブルの構成を示す図である。
【図７】承認者が利用するコンピュータの構成を示す図である。
【図８】利用者確認情報テーブルの構成を示す図である。
【図９】利用者のコンピュータ、確認装置、承認者のコンピュータ、アクセス制御親機、アクセス制御子機及びファイルサーバの動作を説明するためのシーケンスを示す図である。
【図１０】アクセス制御子機の動作を示すフローチャート（その１）である。
【図１１】アクセス制御子機の動作を示すフローチャート（その２）である。
【図１２】アクセス制御親機の動作を示すフローチャートである。
【図１３】承認要求ページの構成を示す図である。
【符号の説明】
【０１４３】
１１  アクセス制御親機
１２  アクセス制御子機
１３  ファイルサーバ
１４  コンピュータ
１５  確認装置
１０１、２０１、４０１  演算処理部
１０２、２０２、４０２  記憶部
１０３、４０３  通信インタフェース部
１０４、４０４  入力部
１０５、４０５  出力部
１１２  承認要求処理部
１１３  承認プロセストリガ部
１１４  承認プロセス処理部
１１５  承認要求応答処理部
１１６  カレンダ部
１１７  ログ処理部
１１８  アクティブ承認者処理部
１２２  承認者マスタ情報記憶部
１２３  アクティブ承認者情報記憶部
１２４  ログ情報記憶部
２０３  第１通信インタフェース部
２０４  第２通信インタフェース部
２１１  通過遮断処理部
２１２  ＭＡＣ比較部
２１３  ＩＰアドレス比較部
２１４  ポート番号比較部
２１５  コマンド比較部
２１６  パラメータ比較部
２１７  タイマ部
２２１  ＭＡＣ情報記憶部
２２２  ＩＰアドレス情報記憶部
２２３  ポート番号情報記憶部
２２４  コマンド情報記憶部
２２５  パラメータ情報記憶部
４１１  Ｐｕｓｈ受信サービス部
４１２  ウェブブラウザ部
４２１  利用者確認情報記憶部
【図１】
2007094493.tif 000003
【図２】
2007094493.tif 000004
【図３】
2007094493.tif 000005
【図４】
2007094493.tif 000006
【図５】
2007094493.tif 000007
【図６】
2007094493.tif 000008
【図７】
2007094493.tif 000009
【図８】
2007094493.tif 000010
【図９】
2007094493.tif 000011
【図１０】
2007094493.tif 000012
【図１１】
2007094493.tif 000013
【図１２】
2007094493.tif 000014
【図１３】
2007094493.tif 000015